Bank brøt ikke plikten til universell utforming

• Saksnummer: 12/2306
• Lovgrunnlag: diskriminerings- og tilgjengelighetsloven 2008 § 9
• Dato for uttalelse: 23. juli 2013
• Nemndas saksnummer: 21/2014 Dato for nemndas vedtak: 5. september 2014

Sakens bakgrunn

For å få tilgang til nettbank for å få utført tjenester i nettbanken til Bank B er det nødvendig å bruke en løsning med elektronisk identifisering og signering (BankID). Bank B- bankene tilbød frem til høsten 2012 en engangskodeløsning i tilknytning til BankID, som bestod av kundens betalingskort og en kortleser som hentet fram ny kode fra kortets chip.

Som følge av nye og strengere sikkerhetskrav fra Bankenes Standardiseringskontor ("BSK") til løsninger som blir benyttet til identifisering og signering i nettbanken (BankID), måtte Bank B skifte ut sin engangskodeløsning. Den opprinnelige tilfredsstilte ikke BSK sine krav. Kravet går ut på at den som identifiserer seg skal bevise sin tilstedeværelse ved bruk. Koden skal ha en gyldighetstid. Den tidligere løsningen måtte avløses av en klokkebasert kodeløsning. Den nye løsningen tilbys både på en fysisk kodebrikke og på mobiltelefon, og koden er tilgjengelig i et kort tidsintervall .

Krav om at engangskoder kun skal være tilgjengelig i et avgrenset tidsintervall ble innført i 2007 og var obligatorisk fra 1. juli 2011, men slik at det ble gitt dispensasjon for de banker som måtte bytte løsning for alle sine kunder. Bank Bs dispensasjon gikk ut 31. desember 2012.

Bank B sin tekniske leverandør av kodebrikker tilbyr ikke klokkebasert kodebrikkeløsning med talende funksjon. For synshemmede er det derfor utviklet en løsning som benytter taleteknologi i mobiltelefoner med nettilgang og som virker på samme måte som en talende kodebrikke. Tjenesten ble lansert i desember 2012. Løsningen er testet og tilpasset sammen med synshemmede brukere. Bank B har etter testing utført av synshemmede brukere fra Norges Blindeforbund foretatt tilpasninger mv for å få en brukeropplevelse som skal være intuitiv også for nye brukere av løsningen.

Partenes syn på saken

A

A er avhengig av kortleser med tale for å betale regninger i nettbanken fordi hun er synshemmet. Hun er kunde i Bank B, og fra 5. desember 2012 har hun ikke lenger kunnet bruke kodebrikke med tale. Hennes mobiloperatør, X støtter ikke Bank ID på mobil, og hun er helt avhengig av kodebrikke med tale for å kunne bruke dette. Hun har kontaktet banken, men ikke fått en slik kodebrikke med tale. Hun mener at Bank B sin løsning for nettbank ikke er universelt utformet, og at banken bryter plikten til universell utforming i diskriminerings- og tilgjengelighetsloven § 9.

Bank B

Bank B hevder i sin redegjørelse til at den nye løsningen som er valgt, ikke er i strid med de krav som stilles til universell utforming i diskriminerings- og tilgjengelighetsloven § 9.

Det understrekes at løsningen ikke innebærer at det er en egen bankløsning for synshemmede kunder. Det er tale om en tilrettelegging av tilgangen til tjenesten. Bank B er av den oppfatning at løsningen som er valgt, er den beste ut fra en forsvarlig avveining av muligheten for å gi tilgang også for synshemmede, veid opp mot de sikkerhetsmessige hensynene.

Bakgrunnen for at en talende brikke ikke lenger tilbys har sammenheng med sikkerhetsmessige krav som stilles til virksomheten. Den løsningen man har hatt frem til nå, kan ikke benyttes lenger ettersom den ikke oppfyller kravet om at koder kun skal være tilgjengelig i et begrenset tidsintervall. Bank B er som usteder av BankID forpliktet til å følge de sikkerhetskravene som BSK stiller i BankID Sertifikatpolicy og nærmere krav til sikkerhet samt regler som fremgår av Interbankreglene om elektronisk BankID.

Bank B må også forholde seg til de sikkerhetsmessige utfordringer nettbankløsningen generelt er stilt overfor. Dette innebærer at banken kontinuerlig må påse at de løsninger som benyttes for pålogging og bruk av nettbanken, er oppdatert for å forhindre at kundene utsettes for nettbanksvindel og annen kriminell atferd når de benytter nettbanken. Slik Bank B vurderer det, er den nye løsningen med blant annet engangskode på mobiltelefon å anse som en bedre løsning sikkerhetsmessig enn den tidligere løsningen med en kodebrikke uten tidsintervall. Bruk av tidsintervall reduserer blant annet risiko knyttet til såkalt "phising" av engangskoder.

De økede kravene til sikkerhet i nettbanken har blant annet sammenheng med at man i de siste årene har opplevd en økning i svindelforsøk mot nettbankene. I rapporten "Den organiserte kriminaliteten i Norge — trender og utfordringer 2013 — 2014" utgitt av Politiet v/ Kripos i januar 2013, er det påpekt at angrepene mot nettbanken "eskalerer både i omfang og kompleksitet". Dette illustrerer at bankene er stilt overfor store utfordringer i forhold til å ivareta sikkerheten i nettbanken. Bank B må derfor kunne velge løsninger som ivaretar de sikkerhetsutfordringer man er stilt ovenfor.

Rettslig grunnlag

Denne saken reiser spørsmål om virksomheters plikt til å sikre universell utforming etter diskriminerings- og tilgjengelighetslovens § 9. Offentlige og private virksomheter som brukes av allmennheten har en plikt til å sikre universell utforming av virksomhetens alminnelige funksjon.

Informasjons- og kommunikasjonsteknologi (IKT), herunder nettbank omfattes av de fysiske forholdene som skal tilrettelegges. Dette følger direkte av dtl § 9 andre ledd.

Dtl § 11 inneholder imidlertid en egen bestemmelse om universell utforming av IKT. Det følger av denne bestemmelsens andre ledd at nye IKT-løsninger som et utgangspunkt skal være universelt utformet fra og med 1. juli 2011, mens eksisterende IKT-løsninger skal være universelt utformet fra 1. januar 2021. Det er gitt anvisninger i lovens forarbeider på at dtl § 9 skal anvendes ved siden av dtl § 11 når det gjelder IKT. Det følger av forarbeidene at LDO kan få til vurdering klager om brudd på plikten til generell tilrettelegging etter § 9 også når det gjelder IKT rettet mot allmennheten. Slike klager kan komme både før og etter at tidsfristene etter § 11 er gjort gjeldende gjennom forskrifter og standarder. En slik klage skal ombudet behandle på samme måte som andre klager om brudd på diskrimineringsbestemmelsen innenfor ombudets myndighet etter diskrimineringsombudsloven, jf. Ot.prp nr. 44 (2007-2008) punkt 10.5.6.5 s. 174.

1.juli 2013 ble forskrift om universell utforming av IKT vedtatt, men kravene trer ikke i kraft før i 2014. I første omgang vil forskriften gjelde nye nettløsinger og billettautomater. Eksempler på løsninger som vil bli er omfattet er billettautomater, minibanker, nettsider for internetthandel, nettsider som gir informasjon til allmennheten og lignende.

Plikten til universell utforming rekker så langt det ikke medfører en uforholdsmessig byrde for virksomheten, se § 9 tredje ledd. Ved den konkrete uforholdsmessighetsvurderingen vil den positive effekten og viktigheten av tilretteleggingen måtte veies mot kostnader og andre former for belastning tilretteleggingen medfører.

Dersom ombudet kommer til at det er en uforholdsmessig byrde å sikre universell utforming, betyr ikke det at virksomheten kan la være å foreta seg noe. Virksomheten er uansett forpliktet til å jobbe for best mulig tilgjengelighet for personer med nedsatt funksjonsevne.

Ombudets vurdering

Bank B er en virksomhet som har plikt til å sikre at bankens hovedløsninger er universelt utformet etter diskriminerings- og tilgjengelighetslovens § 9. Virksomheten skal derfor tilrettelegge de deler av banken som benyttes av allmennheten (kunder) på en slik måte at flest mulig, uavhengig av individuelle forutsetninger, vil ha tilgang til bankens tjenester. Plikten omfatter helt klart universell utforming av nettbanken.

Bryter Bank B plikten til universell utforming i diskriminerings- og tilgjengelighetsloven § 9 gjennom sin nettbanktjeneste?

Ombudet kjenner til at blinde og svaksynte personer med de rette hjelpemidlene, herunder talende Bank ID- brikke kan bruke enkelte nettbanker i dag. Dette er også tilfellet for A.

Bank B tilbyr ikke lenger talende Bank ID-brikke som er det som til nå har vært vanlig for banker å bruke for innlogging. Nettbanktjenesten er således i utgangspunktet ikke universelt utformet.

Bank B har imidlertid redegjort for ombudet at for å tilrettelegge for synshemmede, så har de utviklet en løsning med taleteknologi i mobiltelefoner med nettilgang. Dette virker på samme måte som en talende kodebrikke. Løsningen er testet og tilpasset sammen med synshemmede brukere, men er ikke offisielt prøvd ut enda. Bank B har etter testing utført av synshemmede brukere fra Norges Blindeforbund. Norges Blindeforbund mener at denne løsningen er bra, selv om enkelte kunder mener at den tidligere løsningen med talende kortleser var mer brukervennlig. Bank B har foretatt tilpasninger av løsningen.

Selv om løsningen med å bruke smart-telefon vil gjøre at synshemmede kunder vil kunne logge inn i nettbanken, fremstår den imidlertid som en særløsning for å tilrettelegge for en gruppe med nedsatt funksjonsevne, herunder synshemmede. Man er også avhengig av å bruke mobiltelefon for å betale regningene, og kan ikke bruke vanlig PC med større skjerm som de fleste har tilgjengelig både hjemme og på kontoret. Løsningen er heller ikke offisielt prøvd ut av kunder enda, og banken har fått tilbakemelding om at kunder som har prøvd ut dette mente den tidligere løsningen med talende Bank ID brikke var mer brukervennlig.

På bakgrunn av dette finner ombudet at bank Bs nettbanktjeneste per dags dato ikke kan anses som universelt utformet. Ombudet er imidlertid tilfreds med at banken har fokus på å gjøre tjenesten mer brukervennlig etter hvert som den prøves ut av «pilotkunder».

Vil krav om universell utforming av nettbanktjenesten være uforholdsmessig byrdefullt for bank B?

Ombudet skal vurdere om det vil være en uforholdsmessig byrde for Bank B å sikre universell utforming av nettbanken, herunder å dekke talende Bank ID- brikker for synshemmede kunder. Det er Bank B som har bevisbyrden for at det vil være en uforholdsmessig byrde å gjøre dette.

I vurderingen av om det er uforholdsmessig å kreve tilrettelegging, skal det legges vekt på bl.a. tilretteleggingens effekt, om virksomheten er av offentlig art, kostnadene ved tilretteleggingen, virksomhetens ressurser, sikkerhetsmessige hensyn og vernehensyn.

Bank B har anført at det ikke lenger er mulig å bruke løsning med kort og kortleser, med eller uten tale, av sikkerhetsmessige årsaker. Banken har vist til krav fra Bankenes Standardiseringskontor. De kortleserne som ble benyttet tidligere, oppfylte ikke nye krav om begrensning i gyldige koder innenfor et fast tidsintervall. Ombudet finner ikke grunn til å overprøve vurderingene om sikkerhet i nettbank, og legger derfor dette til grunn i sin vurdering av uforholdsmessigheten. Banken har også på en ryddig og oversiktlig måte dokumentert hvorfor det av hensyn til sikkerhet, ikke lenger er aktuelt å bruke kort og kortleser med og uten tale, og hvorfor man er gått over til Bank ID-brikker.

Ombudet er kjent med at andre norske banker tilbyr talende Bank ID- brikker til sine kunder. Dette gjelder f-eks E Bank som ombudet har vurdert tidligere i sak 10/193. Bank B har imidlertid vist til at bankens leverandør av Bank ID- brikker ikke tilbyr brikker med tale. I utgangspunktet kan man da hevde at banken burde skiftet leverandør av ID-brikker, men banken har redegjort for at den istedet har utviklet en løsning for synshemmede kunder hvor man kan betale regninger i nettbank via Smartphone med innebygd tale. Selv om dette er en særløsning som er utviklet for en gruppe, vil løsningen gjøre det mulig for synshemmede kunder å betale regninger på nett. Banken har også uttalt at den vil disponere smarttelefoner til de kunder som har behov for dette uten ekstra- kostnader for kundene. Tilgang til nettbank vi Smartphone vil også gi kunder med nedsatt syn tilgjengelighet til bankens tjenester. Både i hjemmet, på kontoret og de fleste andre steder vil man kunne få tilgang til nettbanken via denne ordningen.

På bakgrunn av hensynet til sikkerhet i nettbanken, samt at banken har utviklet en løsning for synshemmede i samråd med Norges Blindeforbund, mener ombudet at banken må få anledning til å få prøve denne ordningen for å se hvordan den fungerer i praksis for de berørte kundene. Dermed vil det på nåværende tidspunkt være uforholdsmessig byrdefullt å pålegge banken å gjennomføre andre tiltak for å gjøre nettjenesten universelt utformet, for eksempel ved å bytte leverandør og dermed kunne tilby talende Bank ID-brikker.

Konklusjon

Likestillings- og diskrimineringsombudet konkluderer med at bank B ikke handler i strid med plikten til universell utforming i dtl § 9.

Ombudet mener det er positivt at banken har fokus på tilgjengelighet for sine kunder, og oppfordrer banken til å jobbe videre med løsningen med Smart-telefonene slik at denne blir så god som mulig. Ombudet oppfordrer banken til å gjøre det godt kjent for sine kunder at banken vil dekke kostnader for smart-telefoner til de kundene som er avhengig av å få kode gjennom tale. Dersom løsningen med smarttelefonene mot formodning ikke skulle virke optimalt når den er testet av kunder kan saken bringes inn for ombudet for ny vurdering.