Spørsmålet i saken

Den 17. juni 2026 avsa Høyesterett dom i HR-2026-1359-A Entercard-dommen. Saken gjaldt spørsmålet om en mann har ansvar for et låneopptak som var foretatt av hans ekssamboer med hans BankID. Saken omtaler blant annet forordning (EU) nr. 910/2014 (eIDAS-forordningen). 

Sakens bakgrunn 

I 2017 spurte A sin ekssamboer om hun kunne hjelpe ham med å betale regninger, fordi han var i en vanskelig periode. Hun fikk derfor As BankID, kodebrikke og personnummer. Ekssamboeren brukte dette til å ta opp et forbrukslån på 1 284 000 kr i As navn. A oppdaget at lånet var tatt opp den 9. september 2020.

A visste at ekssamboeren tidligere hadde hatt problemer knyttet til økonomi og pengespill, men han trodde at dette var tilbakelagte problemer. I perioden fra 2017 til 2020 hadde A verken sjekket post, e-post, bankkontoer eller skattemeldinger. Av lånebeløpet som ble tatt opp brukte A selv 100 000 kr til å kjøpe bil.

Entercard Norge (Entercard) innvilget et forbrukslån på 455 000 kr til ekssamboeren, som tok opp lånet i As navn. Den 8. mars 2024 tok Entercard ut stevning mot A med krav om tilbakebetaling av lånet med tillegg av renter om omkostninger. 

A ble dømt til å betale deler av lånebeløpet i tingretten. Entercard anket saken til lagmannsretten og vant fullt ut. A anket saken til Høyesterett. 

Høyesteretts vurdering

BankID

Høyesterett innleder med å vise til at en BankID er en personlig digital identifikasjon utstedt av norske banker etter avtale med den enkelte kunde. Definisjonen fra Finans Norge viser at BankID er en kombinasjon av noe «bare rettighetshaveren har» og «noe bare rettighetshaveren vet», nemlig en kodebrikke eller app og et passord. I tillegg er løsningen knyttet til rettighetshaverens personnummer. 

BankID er regulert av lov 15. juni 2018 nr. 44 om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester). Loven gjennomfører forordning (EU) nr. 910/2014 (elDAS-forordningen). 

Bruken av elektronisk identifikasjon bygger på det grunnleggende prinsippet om at innehaveren skal ha enekontroll over sine signaturfremstillingsdata, jf. elDAS-forordningen artikkel 26 bokstav c. 

Spørsmålet om ansvarsgrunnlag

Høyesterett går deretter over til å vurdere hvorvidt A opptrådte erstatningsbetingende da han overlot BankID-brikke og -passord til ekssamboeren sin på det tidspunktet da det var krevende for ham å ivareta papirarbeid. 

Innledningsvis redegjør Høyesterett for innholdet i aktsomhetsnormen. Utgangspunktet er at rettighetshaveren må ta alle rimelige forholdsregler for å beskytte de personlige sikkerhetsordninger knyttet til BankID. Passord og sikkerhetsprosedyrer skal ikke deles med noen, heller ikke medlemmer av husstanden, jf. «Avtale om PersonBankID» punkt 9. 

Det skal foretas en vurdering av om skadevolder kunne og burde ha handlet annerledes. I denne vurderingen er det også relevant å se hen til hvilke forventinger som kan stilles til den skadelidte. Blant annet viser Høyesterett til forarbeidene til lov 18. desember 2020 nr. 146 om finansavtaler (finansavtaleloven) hvor det fremkommer at kredittyteren selv kan gjøre tiltak for å hindre misbruk av låneopptak. Slike tiltak kan være å kontrollere at utbetalingen skjer til låntakers bankkonto, og å sende bekreftelser på låneopptaket på melding, i post eller ved elektronisk postkasse. 

Deretter går Høyesterett over til den konkrete vurderingen av om A har opptrådt ansvarsbetingende. Det første spørsmålet er om A iverksatte alle rimelige tiltak for å beskytte sin BankID. Høyesterett viser til at A delte alt av utstyr, tilganger og passord med sin ekssamboer. Videre sjekket han verken e-poster eller meldinger fra banker over en periode på omtrent tre år. Til tross for at A var sliten og deprimert, var han ikke sykemeldt. Høyesterett legger også til grunn at A kunne ordnet en disposisjonsfullmakt dersom han trengte bistand fra tredjepart ved bruk av BankID. A har følgelig ikke truffet alle rimelige forholdsregler for å beskytte sin BankID og forebygge misbruk. 

Når det kommer til forholdene på kredittyters side, viser Høyesterett til at Eurocard hadde gjort de tiltakene som forarbeidene til finansavtaleloven beskrev. Høyesterett angir videre at det ikke kan stilles krav til at Entercard skulle ha kontaktet A på telefon, utbetalt lånebeløpet til refinansiering av forbruksgjeld direkte til de tidligere kredittyterne, krevd fysisk oppmøte av ham eller gjennomført biometrisk kontroll. Dette var ikke bransjenormer på tidspunktet da søknaden om lån ble innvilget. 

Høyesteretts delkonklusjon er at det foreligger ansvarsgrunnlag for A.

Høyesterett viser deretter kort at de tre resterende erstatningsvilkårene for å tilkjenne Entercard erstatning – økonomisk tap, årsakssammenheng og adekvans – er oppfylt.

Finansavtalelovens begrensning av ansvar ved misbruk av eID

Finansavtaleloven § 3-20 regulerer en begrensning av rettighetshavers erstatningsansvar overfor tjenesteyteren der skaden skyldes misbruk av elektroniske signaturfremstillingsdata.  Finansavtaleloven trådte i kraft i 2023. Spørsmålet for Høyesterett er om finansavtaleloven § 3-20 kommer til anvendelse på en avtale som ble inngått i 2018. 

Det følger av finansavtaleloven § 8-2 at loven får anvendelse på eldre avtaler, med unntak for regler som gjelder «avtaleinngåelsen» og «plikter i forbindelse med avtaleinngåelsen». Høyesterett uttaler at ansvarsfordelingen i § 3-20 viser til «plikter» som følger av §§ 3-18 og 3-19. Da disse pliktreglene kun gjelder for avtaler som er inngått etter at loven trådte i kraft, taler systemhensyn for at ansvarsbestemmelsen i § 3-20 heller ikke kommer til anvendelse. Delkonklusjonen er at finansavtaleloven § 3-20 ikke kommer til anvendelse. 

Skadelidtes medvirkning og lemping av erstatningen

Høyesterett går videre over til å vurdere om erstatningen skal settes ned på grunnlag av skadelidtes medvirkning, jf. lov 13. juni 1969 nr. 26 om skadeserstatning (skadeserstatningsloven) § 5-1 nr. 1. Etter bestemmelsen kreves det at skadelidte har utvist «skyld». Høyesterett mener at Entercard har handlet i tråd med regler og bransjenormer. Videre er det for retten ikke påvist at Entercard burde ha iverksatt ytterligere handlinger som kunne ha redusert risikoen for skade. Delkonklusjonen er at erstatningen ikke skal settes ned på grunn av medvirkning. 

Avslutningsvis vurderer Høyesterett om erstatningen helt eller delvis må lempes, jf. skadeserstatningsloven § 5-2. Bestemmelsen åpner for lemping i to situasjoner. For det første når fullt ansvar vil være urimelig tyngende for skadevolder, og for det andre når det er rimelig at skadelidte helt eller delvis bærer tapet. 

Høyesterett viser til at A er i en økonomisk vanskelig situasjon, er sykemeldt og deprimert. På den annen side er han sterkt å bebreide for at tapet har skjedd. Han hadde konkret oppfordring til å kontrollere ekssamboerens bistand med å betale regninger, og slik kontroll kunne ha avslørt misbruken av BankIDen. Entercard er på sin side ikke å bebreide for tapet som har oppstått.

Høyesterett vektlegger videre hensynet til samfunnets tillit til eID, og tilbyderens strenge plikter ved tilbudet av denne tjenesten. Tilbyderne kan imidlertid ikke kontrollere at kundene overholder sin aktsomhetsplikt. Preventive hensyn taler dermed mot å lempe erstatningen. Erstatningen skal følgelig ikke lempes. 

Høyesteretts konklusjon 

A er fullt ut erstatningsansvarlig for tapet som Entercard har lidt. 

Forordning (EU) nr. 910/2014 (eIDAS-forordningen) er tatt inn i EØS-avtalens vedlegg XI og gjennomført i norsk rett ved lov 15. juni 2018 nr. 44 om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester).

Dommen er blitt kritisert og diskutert på Rett24.no. Marte Eidsand Kjørven kommenterer to forhold med relevans for EØS-retten. For det første kommenterer hun Høyesteretts poeng om eIDAS-forordningens krav om at innehaveren skal ha «enekontroll» over sine signaturfremstillingsdata. Hun mener at Høyesterett oppstiller dette som et «krav til brukerne istedenfor krav til systemeier». Kjørven mener Høyesterett med dette har støttet opp under en omstridt tolkning av eIDAS-forordningen og at denne har stor betydning for personer som trenger hjelp til å bruke eID. Hun mener også at Høyesterett burde ha forelagt tolkningsspørsmålet for EFTA-domstolen før det ble vektlagt på denne måten. 

Videre viser Kjørven til at Høyesterett unnlater å undersøke om bankens plikter etter direktiv 2008/48/EF [forbrukerkredittdirektivet] er oppfylt. I tillegg mener hun at når Høyesterett forankrer As aktsomhetsplikt i BankID-avtalen, så måtte Høyesterett også ha vurdert klarheten og rimeligheten av avtalen etter direktiv 93/13/EØF [forbrukeravtaledirektivet]. 

Se omtalen fra Rett24 her (lest 18. august 2026). 

CH