Vad reglerar betalningstjänstlagen?
Betalningstjänstlagen (lag 2010:751) är den svenska lag som genomför EU:s andra betaltjänstdirektiv PSD2 (direktiv 2015/2366) och styr alla betalningstjänster där en kortutgivare, bank eller betaltjänstleverantör hanterar pengar mellan parter. Lagen omfattar kortbetalningar, autogiro, e-faktura, Swish, P2P-överföringar och elektroniska plånböcker som Apple Pay och Google Pay. Den senaste större ändringen kom 2018 med PSD2 och 2024 utökades regelverket med Open Banking-krav på leverantörer av betalningsinitieringstjänster.
För dig som kortinnehavare är de tre viktigaste effekterna att obehöriga köp är begränsade till 400 kr i självrisk om du följt aktsamhetskraven, att stark kundautentisering (3D Secure med BankID eller motsvarande) krävs vid de flesta onlineköp över 30 EUR, och att du har 13 månader på dig att bestrida ett felaktigt köp efter att det skett. Begrepp som SCA, chargeback och tokenisering är samlade i ordlistan för kreditkort.
Vad är PSD2 och hur skiljer det sig från äldre regler?
PSD2 är förkortning för Payment Services Directive 2 och är det EU-direktiv som ersatte PSD1 från 2007 och som trädde i kraft i Sverige genom betalningstjänstlagen i januari 2018. Den största förändringen jämfört med tidigare är fyrdelad: striktare krav på säkerhet via stark kundautentisering, lägre självrisk vid obehöriga transaktioner, transparens kring kortavgifter och tvång på banker att öppna upp kontodata för tredjepartsleverantörer (Open Banking).
För kreditkortsanvändare är skillnaden mest kännbar i form av BankID-verifiering vid kortköp på nätet och ett mycket bättre konsumentskydd vid obehöriga köp. Tidigare kunde självrisken vara upp till 12 000 kr i vissa fall, medan den idag är begränsad till 400 kr enligt huvudregeln, eller 0 kr om kortet redan var spärrat när det missbrukades.
Vilka regler gäller för kreditkort enligt betalningstjänstlagen?
Betalningstjänstlagen ställer fem konkreta krav på kortutgivaren och tre konkreta krav på dig som kortinnehavare. Listan nedan visar de fem viktigaste reglerna som påverkar din vardag som kortanvändare.
- Stark kundautentisering (SCA): Onlineköp ska verifieras med två av tre faktorer (något du vet, något du har, något du är) över 30 EUR per transaktion eller efter 5 transaktioner i rad. I Sverige sker SCA vanligen via BankID eller bankens egen kortapp. Vissa undantag finns för låga belopp, betrodda mottagare och prenumerationsbetalningar.
- Begränsat ansvar vid obehöriga köp: Din maximala självrisk är 400 kr om du varit normalt aktsam, 12 000 kr vid grov oaktsamhet (exempelvis om du delat PIN-koden) och 0 kr om kortet hunnit spärras innan missbruket. Resten av beloppet täcks av kortutgivaren.
- 13 månaders bestridanderätt: Du har 13 månader på dig att bestrida en felaktig debitering räknat från kontoutdragsdagen. Banken är skyldig att utreda och återbetala obehöriga köp inom 1 till 10 arbetsdagar om utredningen är klar.
- Transparens kring avgifter: Kortutgivaren måste tydligt redovisa alla avgifter innan transaktionen sker, inklusive valutapåslag, uttagsavgift och eventuella extra avgifter vid betalning utanför EU. Dolda avgifter är förbjudna.
- Open Banking och kontoåtkomst: Du har rätt att ge tredjepartsleverantörer (exempelvis Tink, Klarna, Trustly) tillgång till ditt betalkonto för att läsa transaktioner eller initiera betalningar. Banken får inte vägra om leverantören är registrerad hos Finansinspektionen.
Hur fungerar stark kundautentisering vid kortköp?
Stark kundautentisering kräver att du legitimerar dig med två av tre möjliga faktorer: något du vet (PIN, lösenord), något du har (telefon, kortet) och något du är (fingeravtryck, ansikte). Vid onlineköp triggas SCA via 3D Secure-protokollet, vilket i Sverige innebär att du verifierar köpet i din BankID-app eller direkt i bankens egna kortapp.
Undantag från SCA finns för köp under 30 EUR (max 5 i rad innan SCA krävs), prenumerationsbetalningar med samma belopp, betrodda mottagare som du sparat hos banken, och för transaktioner som banken bedömer som låg risk via riskanalysmotor. Praktiskt innebär det att de flesta vardagsköp i butik och små onlineköp inte kräver BankID, medan större köp eller köp hos nya säljare nästan alltid gör det.
Vilka rättigheter har du vid obehöriga kortköp?
Du har fyra grundläggande rättigheter vid obehöriga köp på ditt kreditkort, och samtliga är reglerade i betalningstjänstlagen och kan inte avtalas bort. Den viktigaste är rätten att få tillbaka pengarna inom 1 till 10 arbetsdagar efter en korrekt anmälan.
Rätt till återbetalning vid obehörig transaktion
Vid obehörig transaktion ska kortutgivaren återföra beloppet till ditt konto omedelbart eller senast nästa bankdag, så länge anmälan kom in inom 13 månader och du inte varit grovt oaktsam. Om kortutgivaren misstänker att du själv genomfört köpet eller att grov oaktsamhet förelåg kan utredningen ta upp till 10 arbetsdagar, men beloppet ska då hållas tillgängligt på ditt konto under utredningen.
Praktiskt innebär det att du anmäler det obehöriga köpet i bankens app eller via telefon, banken spärrar kortet omedelbart och pengarna kommer tillbaka till kontot vanligen inom 1 till 3 dagar. Vid större belopp eller komplicerade fall (exempelvis om du anlitat någon annan att handla) kan utredningen bli mer omfattande och kräva polisanmälan.
Rätt till självrisk på max 400 kr
Din maximala självrisk vid obehöriga kortköp är 400 kr, förutsatt att du följt aktsamhetskraven enligt 5 kap. 6 § betalningstjänstlagen. Aktsamhetskraven omfattar att förvara kortet säkert, hålla PIN-koden hemlig (inte skriva ner den eller dela den), spärra kortet utan dröjsmål vid förlust eller misstanke om missbruk, och kontrollera kontoutdrag regelbundet.
Om du brutit mot aktsamhetskraven genom grov oaktsamhet (exempelvis lämnat kortet och PIN-koden ihop) kan självrisken bli 12 000 kr. Vid uppsåt (exempelvis om du själv delat ut kortet) bär du hela förlusten. Om kortet redan var spärrat när det missbrukades bär du 0 kr.
Vilka är de vanligaste fallen där betalningstjänstlagen tillämpas?
De fem vanligaste tillämpningarna är obehöriga onlineköp, skimning vid uttag, dubbeldebitering vid kortköp i butik, felaktiga abonnemangsdragningar och fel valutaomräkning vid utlandsköp. Listan nedan visar typfallen och hur lagen tillämpas i varje situation.
- Obehöriga onlineköp: Någon har använt kortnumret utan ditt tillstånd. Banken återför pengarna inom 1 till 10 arbetsdagar och du betalar max 400 kr i självrisk om aktsamhet följts. Vanligaste orsaken är phishing eller dataintrång hos en näthandlare.
- Skimning vid uttagsautomat: En manipulerad bankomat har kopierat kortdata och PIN. Banken ersätter förlusten i sin helhet om du anmäler omedelbart. Skimning är polisanmälningspliktig och beloppet återförs efter polisens utredning.
- Dubbeldebitering vid kortköp: Samma köp har debiterats två gånger på grund av tekniskt fel hos säljaren. Bestridanderätten gäller från kontoutdragsdagen och beloppet ska återföras inom 10 arbetsdagar efter anmälan, även om säljaren inte hunnit svara.
- Abonnemang som inte gått att säga upp: Säljaren fortsätter dra pengar trots uppsägning. Du kan begära att banken stoppar framtida dragningar via en så kallad chargeback, och historiska dragningar kan bestridas i upp till 13 månader bakåt.
- Felaktig valutaomräkning: Säljaren har använt fel växelkurs eller dolda avgifter vid utlandsköp. Banken är skyldig att redovisa kursen som tillämpades och du kan bestrida om den avviker betydligt från officiell kurs eller om utgivarens valutapåslag inte var transparent angivet.
Hur bestrider du ett kortköp i praktiken?
Ett kortköp bestrider du i tre steg: anmäl till kortutgivaren skriftligt eller via app, fyll i bankens bestridandeblankett (chargeback) och bifoga eventuell dokumentation. Tidsfristen är 13 månader från kontoutdragsdagen, men praktiskt bör du anmäla inom 30 dagar för att maximera chansen att utredningen blir framgångsrik.
Banken inleder en utredning enligt Mastercard- eller Visa-reglerna och kontaktar säljaren via deras inlösare. Säljaren har vanligen 30 till 45 dagar på sig att svara med bevis (kvitto, leveransdokument, kommunikation), och om de inte svarar eller bevisen är otillräckliga vinner du tvisten. Vid komplicerade fall kan ärendet eskaleras till Mastercard- eller Visa-skiljedomsförfarande, men det är ovanligt på konsumentnivå.
Vad händer om betalningstjänstlagen inte följs?
Om en kortutgivare bryter mot betalningstjänstlagen kan tre saker hända: Finansinspektionen utfärdar en sanktionsavgift, kunden kan kräva skadestånd via ARN och i sista hand domstol, och tillståndet att bedriva betalningstjänst kan dras in. Sanktionsavgifterna kan uppgå till 10 procent av årsomsättningen eller 50 000 000 kr beroende på vilket belopp som är högst, vilket gör att svenska banker har starka incitament att följa lagen exakt.
För dig som kortinnehavare innebär det att du sällan behöver gå längre än till bankens kundtjänst eller ARN för att få rätt vid en tvist. ARN-prövningar är gratis, beslutet kommer inom cirka sex månader och 75 till 80 procent av kortutgivarna följer ARN-rekommendationer frivilligt.
Hur driver du en tvist enligt betalningstjänstlagen?
En tvist drivs i tre steg: skriftligt klagomål till kortutgivaren, anmälan till Allmänna reklamationsnämnden och i sista hand stämning i tingsrätten. Klagomålet till banken ska vara skriftligt och beskriva vad som inträffat samt vilken rättelse du begär. Banken har 30 dagar på sig att svara, och om svaret inte räcker kan du gå vidare till ARN.
ARN prövar tvister över 1 000 kr (lägre gräns för betaltjänster än för andra konsumenttvister) och beslutet kommer inom sex månader. Vid avslag i ARN eller om motparten inte följer beslutet kan du stämma i tingsrätten, men då tillkommer rättegångskostnader och risken att stå för motpartens kostnader om du förlorar.
Hur skyddar betalningstjänstlagen dig vid abonnemang och prenumerationer?
Betalningstjänstlagen ger dig rätt att stoppa framtida dragningar från ditt kort och bestrida tidigare dragningar inom 13 månader. Du kan när som helst begära att banken stoppar framtida betalningar till en specifik mottagare via en så kallad blockering, vilket är effektivt mot abonnemang där du inte når säljaren själv eller där uppsägningen ignorerats.
För autogirobetalningar har du dessutom så kallad “no questions asked”-rätt att kräva återbetalning inom 8 veckor från debiteringen, utan att behöva motivera varför. Den rätten gäller för SEPA-autogiro inom EU och är striktare till konsumentens fördel än chargeback-processen för kortbetalningar. Tröskeln för obligatorisk 3D Secure-verifiering enligt PSD2 är 30 EUR per köp och kräver BankID-bekräftelse, vilket är det starkaste skyddet mot obehöriga onlineköp.