Erstatningsansvar ved misbruk av BankID – Høgsterett fastslår fullt ansvar for låntakar utan lemping
Advokatfullmektig Ole Kristian Evebø, advokat Kristine Celius
Ein dom frå Høgsterett 17. juni 2026 slår fast at ein mann er fullt ansvarleg for nærare ein halv million kroner i forbrukslån – lån han aldri sjølv tok opp. Dommen gjev viktige avklaringar om kva ansvar vi alle har for BankID-en vår, og set ei høg liste for å sleppe unna med lemping.
Kan du bli halden ansvarleg for lån du aldri tok opp?
Ja – det kan du, viss du har gjeve andre tilgang til BankID-en din. Det er kjernen i ei einstemmig Høgsterettsdom avsagt 17. juni 2026 (HR-2026-1359-A). Dommen er prinsipiell og viktig, og han byggjer vidare på det rettslege grunnlaget som vart etablert i Brabank-dommen (HR-2020-2021-A).
For oss som jobbar med kontrakts- og erstatningsrett, er dette ei avgjerd vi vil sjå att i lang tid. Dommen klarlegg kvar det personlege ansvaret begynner og sluttar, kva som krevst av kredittytar, og kor trongt nålauga er for dei som ønskjer å sleppe unna med lempa ansvar.
Kva skjedde?
Våren 2017 gjekk mannen – kalla A i dommen – gjennom ein vanskeleg periode. Han bad ekssambuaren om hjelp til å betale rekningar og handtere bankoverføringar. For å gjere det mogleg gav han henne BankID-brikka, passordet og personnummeret sitt. Ho fekk òg tilgang til datamaskina, e-posten og ein mobiltelefon registrert på hans enkeltpersonføretak.
A visste at ekssambuaren hadde hatt problem med økonomi og pengespel tidlegare. Han trudde likevel det var tilbakelagde forhold.
Det var dei ikkje. I perioden mars 2018 til september 2020 søkte ekssambuaren om ei rekkje forbrukslån i hans namn – i det vesentlege utan at han visste om det. Til saman vart 1 284 000 kroner innvilga. Ho vart seinare dømd for grovt bedrageri og identitetskrenking.
Det er verdt å merke seg at A sjølv brukte om lag 100 000 kroner av desse midlane til å kjøpe bil.
Eitt av låneopptaka gjaldt Entercard. Den 16. juli 2018 mottok Entercard ei elektronisk lånesøknad i As namn – 455 000 kroner til refinansiering av eksisterande forbruksgjeld. Ekssambuaren signerte avtalen ved bruk av As BankID den 23. juli 2018. Lånet vart utbetalt til hans konto. Det samla skyldige beløpet var på 457 608,22 kroner inkludert gebyr.
A vart ikkje kjend med låneopptaka før i september 2020. Han nekta å betale og Entercard tok ut stemning. Tingretten lempa ansvaret hans til 100 000 kroner. Lagmannsretten dømde han til å betale heile 457 608,22 kroner. Høgsterett stadfesta lagmannsretten si avgjerd.
Høgsteretts vurdering – tre hovudspørsmål
Høgsterett fann det ikkje nødvendig å avgjere om A var avtalerettsleg bunden av låneavtalen, sidan han uansett var erstatningsansvarleg. Drøftinga konsentrerte seg om dei klassiske erstatningsrettslege vilkåra – ansvarsgrunnlag, årsakssamanheng og adekvans – samt tre særskilde spørsmål mannen reiste.
1. Hadde A brote si aktsemdsplikt?
BankID er ei strengt personleg legitimering. Det følgjer direkte av «Avtale om PersonBankID» at BankID ikkje skal overlatast til andre, og at passord og tryggingsprosedyrar ikkje må delast – ikkje eingong med husstandsmedlemmer.
Høgsterett meinte A klart hadde brote denne plikta. Tre særleg alvorlege forhold vart framheva:
Han overlét medviten BankID-brikke, passord og personnummer til ekssambuaren – vel vitande om at dette er informasjon ein aldri skal dele.
Han gav henne full tilgang til datamaskin, e-post og mobiltelefon, slik at ho utan hindringar kunne opptre som han overfor bankar og andre.
Han let vere å kontrollere eigne bankkontoar, sjølvmeldingar, post og e-post over ein periode på meir enn tre år – og ignorerte ein «heil haug» med meldingar frå bankar på mobilen sin.
A forklarte åtferda med at han var sliten og deprimert. Høgsterett tok dette til etterretning, men peika på at han ikkje var sjukmeld i perioden, at han heldt fram med å fakturere kundane sine, og at det ikkje fanst dokumentasjon som tilsa at han mangla evne til å vurdere risikoen.
Retten understreka eit viktig poeng: dersom ein treng hjelp til å handtere økonomi, er rett framgangsmåte å opprette ein disposisjonsfullmakt for bankkonto. Denne ordninga gjev andre lov til å utføre disposisjonar på eins vegner – utan at ein treng å gje frå seg sjølve den digitale identiteten sin. Å overlate BankID-en er aldri rett løysing, uansett kor vanskeleg situasjonen er.
2. Hadde Entercard gjort nok?
A hevda at Entercard burde ha oppdaga at det var ein annan person enn han sjølv som stod bak søknaden. Høgsterett gav han ikkje medhald. Entercard hadde innhenta ekstern kredittsjekk, nytta KAR-oppslag for å stadfeste at A var eigar av kontoen pengane skulle utbetalast til, og sendt lånedokumenta til hans registrerte e-postadresse. Dette var kontrolltiltak i tråd med det forarbeida til finansavtalelova trekker fram som eigna til å motverke misbruk av eID.
Dommen avklarar med dette kva som er tilstrekkeleg for kredittytar i ein normalsituasjon: maskinell behandling med ekstern kredittsjekk, KAR-oppslag og utsending av dokument til registrert e-post. Krav om biometrisk kontroll, videomøte eller fysisk oppmøte kan ikkje stillast som generelle krav for ordinære forbrukslån. Standarden vil likevel utviklast over tid – og Finans Noregs bransjenorm frå 1. januar 2021 vil vere eit relevant moment i framtidige saker.
3. Var det grunnlag for lemping?
Mannen bad om lemping etter skadeserstatningslova § 5-2, som opnar for å setje ned ansvaret dersom det vil verke urimeleg tyngande. Høgsterett forkasta dette.
Retten understreka at det skal mykje til før lemping vert aktuelt ved BankID-misbruk – det er ein unntaksregel med avgrensa rekkevidde. Tre omsyn veg særleg tungt mot lemping: at A sjølv er sterkt å bebreide, at kredittytar ikkje er å laste, og at tilliten til heile eID-systemet krev klare og konsekvente reglar. Preventive omsyn talar difor med styrke mot å gje lemping i slike saker.
Høgsterett stadfester likevel at Brabank-dommen opna for at lemping kan vere aktuelt i tilfelle der ein privatperson vert halden ansvarleg for store tap og omstenda ligg annleis til. Terskelen er berre svært høg, og ein må rekne med at preventive omsyn i dei aller fleste tilfelle vil vege tyngre.
I tillegg vart mannen ikkje høyrd med at finansavtalelova 2020 § 3-20 – som set eit tak på kor mykje ein BankID-innehavar kan haldast ansvarleg for – kom til bruk. Føresegna gjeld berre låneavtalar inngått etter 1. januar 2023. For eldre avtalar gjeld alminnelege erstatningsrettslege reglar, utan beløpsavgrensing.
Kva betyr dommen for deg?
Dommen er eit tydleg signal til alle som nyttar BankID – det vil seie nesten alle av oss. Her er dei viktigaste konklusjonane i klart språk:
BankID er absolutt personleg. Ingen situasjon – ikkje sjukdom, ikkje tillit, ikkje praktisk vanskeleg livssituasjon – gjer det rett å overlate BankID-en din til andre. Treng du hjelp med økonomi, bruk disposisjonsfullmakt.
Plikta di sluttar ikkje ved overleveringa. Du har ei sjølvstendig plikt til å følgje med på om eID-en din vert misbrukt. Å sjå bort frå bankmeldingar i årevis er i seg sjølv eit grovt brot på aktsemdsregelen.
Lemping er unntaket. At ansvaret er økonomisk tyngande, er ikkje i seg sjølv nok – det er berre ein føresetnad for at lempingsspørsmålet i det heile kan vurderast. I dei fleste saker vil preventive omsyn og omsynet til eID-systemets integritet vege tyngre.
Eldre låneavtalar følgjer eldre reglar. Finansavtalelova 2020 § 3-20 er ei viktig verneføresegn for framtida, men ho gjeld ikkje for låneavtalar inngått før 1. januar 2023. I alle tvistar om BankID-misbruk vil det difor vere avgjerande å sjå på når avtalen vart inngått.
Har du spørsmål om BankID-ansvar eller forbruksavtalar?
Har du eller nokon du kjenner vorte utsett for misbruk av BankID – anten som ein som har fått identiteten sin misbrukt, eller som ein låntakar som vert halden ansvarleg for lån du ikkje sjølv tok opp – er det viktig å søkje juridisk bistand tidleg.
Ansvaret og grensene for lemping er komplekse, og utfallet kan avhenge av mange faktorar: når låneavtalen vart inngått, kva dokumentasjon som finst, kva kontrolltiltak banken gjennomførte, og dei konkrete omstenda i saka. Tidleg avklaring gjev deg det beste grunnlaget for å vurdere kva moglegheiter du har.
Advokatfirmaet Tollefsen AS har kontor i Sogndal, Førde og Florø, og bistår både selskap og privatpersonar i Sogn og Fjordane med alle slags juridiske spørsmål.
Er du usikker på kva reglar som gjeld for ditt arrangement under VM, hjelper vi deg gjerne med ei rask vurdering.