Digital økonomi og sikkerhed

🧔 Voksen Loven (PSD2, artikel 4) definerer to tjenester, som tredjepartsudbydere leverer ✔: en betalingsinitieringstjeneste — "a service to initiate a payment order at the request of the payment service user with respect to a payment account held at another payment service provider" (nr. 15), og en kontoinformationstjeneste — "an online service to provide consolidated information on one or more payment accounts" hos andre udbydere (nr. 16). Før du stoler på dem, skal du kontrollere, at udbyderen er autoriseret eller registreret (kompetence 406, 409). I hvert EU-land fører den nationale tilsynsmyndighed et offentligt register, og Den Europæiske Banktilsynsmyndighed (EBA) fører et centralt register efter artikel 15 i PSD2, der er frit tilgængeligt ✔ (eba.europa.eu). Rammerne forventer også, at du ved, at nogle digitale produkter er mere risikable, fordi de er mindre reguleret (370) ✔.

Eksempel: Bulgarien — BNB fører offentlige registre over betalingsinstitutter, institutter for elektroniske penge og udbydere af kontoinformationstjenester efter artikel 19 i Lov om betalingstjenester og betalingssystemer ✔ (bnb.bg, "Registre efter Lov om betalingstjenester og betalingssystemer", åbnet 21.10.2026).

Tjek i dit land — Hvilken myndighed fører registret over betalingsinstitutter og institutter for elektroniske penge (som regel centralbanken eller finanstilsynet)? Søg i det eller i EBA's centrale register efter udbyderens navn, før du forbinder en app med din konto.

Myte → sandhed

• Myte: "Digitalt er mindre sikkert end en pung."
• Sandhed: det er anderledes. En stjålet pung opdager du med det samme; en stjålet adgangskode ikke. Derfor kræver digitale penge vaner (kapitel 9) og har ekstra beskyttelse.

Hvem tjener på det? Den, der ved, hvor nøglerne er.

→ Fortsæt ved kilden

• Direktiv (EU) 2015/2366: http://data.europa.eu/eli/dir/2015/2366/oj ✔
• BNB — Registre efter Lov om betalingstjenester og betalingssystemer: https://www.bnb.bg/RegistersAndServices/RSPIPublicRegisters/index.htm ✔ (åbnet 21.10.2026)

🧔 Voksen De tre slags bevis, som al digital sikkerhed hviler på: viden (adgangskode, PIN), besiddelse (telefon, kort, fysisk nøgle), iboende egenskab (fingeraftryk, ansigt). Svage punkter:

• En SMS-kode er "besiddelse" af nummeret, ikke af telefonen — nummeret kan flyttes (SIM-swap, kapitel 5). ENISA råder: hvis du har valget, så brug en passkey, en fysisk nøgle eller en autentifikator-app — de er i princippet sikrere end en SMS-kode ✔ (ENISA, "Cyber Hygiene", åbnet 21.10.2026).
• Biometri er ikke hemmelig og kan ikke ændres som en adgangskode; den låser enheden op, og PIN-koden forbliver den alternative indgang.
• Reserve-gendannelseskoder opbevares på papir — de er "nøglen til nøglen".

🏗 Virksomhed/organisation En delt adgangskode efterlader intet spor og kan ikke tages tilbage, når en person forlader virksomheden. Personlig adgang, roller og en anden faktor til alle, der kan nå virksomhedens bankkonto.

Myte → sandhed

• Myte: "Jeg er ikke vigtig — ingen hacker min konto."
• Sandhed: automatiske programmer prøver millioner af lækkede adgangskoder. Det, der gør dig sårbar, er ikke din vigtighed, men en genbrugt adgangskode.

Hvem tjener på det? Den, der har mindst to forskellige låse.

→ Fortsæt ved kilden

• ENISA — Cyber Hygiene (lange unikke adgangskoder, adgangskodeadministrator, passkeys, autentifikator-app): https://www.enisa.europa.eu/topics/cyber-hygiene ✔ (åbnet 21.10.2026)

🧔 Voksen Definition (PSD2, artikel 4, nr. 30) ✔: "strong customer authentication" means "an authentication based on the use of two or more elements categorised as knowledge (something only the user knows), possession (something only the user possesses) and inherence (something the user is) that are independent, in that the breach of one does not compromise the reliability of the others, and is designed in such a way as to protect the confidentiality of the authentication data".

Hvornår den kræves (artikel 97, stk. 1) ✔: når betaleren "(a) accesses its payment account online; (b) initiates an electronic payment transaction; (c) carries out any action through a remote channel which may imply a risk of payment fraud or other abuses". Ved fjernbetalinger omfatter autentifikationen elementer, der "dynamically link the transaction to a specific amount and a specific payee" (artikel 97, stk. 2) ✔. Derfor gælder koden kun for denne betaling — læs beløbet og modtageren, før du bekræfter.

Eksempel: Bulgarien — Lov om betalingstjenester og betalingssystemer, artikel 100, stk. 1, forpligter udbydere til at anvende stærk kundeautentifikation af betaleren i de samme tre tilfælde ✔ (gældende tekst på lex.bg, åbnet 21.10.2026).

Tjek i dit land — PSD2 er gennemført i en national lov om betalingstjenester i hvert EU-land; reglen er den samme. Din banks brugsvilkår forklarer, hvilke metoder (app, kortlæser, SMS) den accepterer.

Tekniske krav (Delegeret forordning (EU) 2018/389) ✔: koden accepteres kun én gang (artikel 4, stk. 1); intet andet element kan udledes af den (artikel 4, stk. 2). Banken kan (den er ikke forpligtet til det) bruge undtagelser: kontaktløse betalinger op til 50 € pr. transaktion og op til 150 € kumulativt eller op til fem på hinanden følgende betalinger (artikel 11); visning af saldoen eller transaktioner fra de seneste 90 dage (artikel 10); "betroede modtagere", hvis liste oprettes med stærk autentifikation (artikel 13). (✔ kontrolleret mod den konsoliderede tekst pr. 25.07.2023: artikel 11 — 50 €, 150 €, fem betalinger; artikel 10 — 90 dage og fornyet autentifikation efter 180 dage; senere ændringer er ikke eftersøgt.)

Hvad det betyder for dig: hvis banken ikke kræver stærk autentifikation, hvor loven kræver den, bærer betaleren intet tab, medmindre vedkommende har handlet svigagtigt (PSD2, artikel 74, stk. 2) ✔.

Myte → sandhed

• Myte: "Det andet trin er et unødvendigt besvær."
• Sandhed: besværet er prisen for at sikre, at én stjålet hemmelighed ikke er nok. Koden er dit "ja" til en bestemt betaling — del den aldrig.

Hvem tjener på det? Dig — når en stjålet adgangskode alene ikke kan tage pengene.

→ Fortsæt ved kilden

• PSD2: http://data.europa.eu/eli/dir/2015/2366/oj ✔ · Forordning 2018/389: http://data.europa.eu/eli/reg_del/2018/389/oj ✔ · Bulgariens Lov om betalingstjenester og betalingssystemer: https://lex.bg/laws/ldoc/2137182267 ✔ (åbnet 21.10.2026; på bulgarsk)

🧔 Voksen Forordning (EU) 2024/886 ændrer forordning (EU) nr. 260/2012 og indsætter nye artikler 5a, 5b, 5c og 5d ✔.

• Definition (artikel 2, nr. 1a): en øjeblikkelig kreditoverførsel er "a credit transfer which is executed immediately, 24 hours a day and on any calendar day".
• Udbud (artikel 5a, stk. 1): udbydere, der tilbyder kreditoverførsler, skal tilbyde alle deres brugere både at sende og modtage øjeblikkelige kreditoverførsler.
• 10 sekunder (artikel 5a, stk. 4, litra c, og stk. 5): beløbet skal stå til rådighed for modtageren inden for 10 sekunder; hvis der ikke kommer en bekræftelse, genopretter betalerens udbyder straks kontoen.
• En grænse efter eget valg (artikel 5a, stk. 6): efter anmodning skal banken tilbyde dig et maksimalt beløb for øjeblikkelige overførsler — pr. dag eller pr. transaktion; en ordre over grænsen udføres ikke. En effektiv beskyttelse mod hurtig tømning af en konto.
• Pris (artikel 5b): gebyrer for en øjeblikkelig overførsel må ikke være højere end for en almindelig; verifikation af modtager er gratis.
• Verifikation af modtager (artikel 5c, stk. 1, litra a): tjenesten udføres "immediately after the payer provides relevant information about the payee and before the payer is offered the possibility of authorising that credit transfer". Hvis der ikke er match, informerer banken betaleren om, at en godkendelse "might lead to transferring the funds to a payment account not held by the payee indicated by the payer"; hvis der er næsten-match, viser den det navn, der er knyttet til IBAN-nummeret. For virksomheder er verifikation ved skattenummer, europæisk unik identifikator eller LEI også mulig (litra b).
• Konsekvenser (stk. 7–8): banken informerer dig om konsekvenserne af at ignorere advarslen. Hvis den ikke udførte verifikationen, og overførslen gik til en forkert konto, får betaleren beløbet tilbage uden ophold; hvis den udførte den, og du bekræftede trods advarslen, er banken ikke ansvarlig for overførslen til den forkerte modtager.

Fra hvornår: for udbydere i eurolande — modtagelse af øjeblikkelige overførsler fra 9.01.2025, afsendelse og verifikation af modtager fra 9.10.2025; for lande uden for euroområdet — 9.01.2027 (modtagelse) og 9.07.2027 (afsendelse, verifikation); betalingsinstitutter og institutter for elektroniske penge i euroområdet — 9.04.2027 ✔ (artikel 5a, 5b, 5c i den ændrede forordning 260/2012). For et land, der tilslutter sig euroen senere, gælder den nye artikel 16, stk. 9, i forordning 260/2012 (tilføjet ved 2024/886, artikel 1, nr. 5): udbyderne dér overholder artikel 5a–5c "within one year" efter indførelsen af euroen, men senest på datoerne for lande uden for euroområdet og ikke før datoerne for euroområdet. Mange banker kan have indført tjenesterne tidligere; spørg din egen.

Eksempel: Bulgarien — Bulgarien har været med i euroområdet siden 01.01.2026, altså efter euroområdets datoer, så artikel 16, stk. 9, gælder. BNB bekræfter, at betalingstjenesteudbydere i Bulgarien skal tilbyde at sende og modtage øjeblikkelige overførsler i euro samt verifikation af modtager fra 1. januar 2027 ✔ (BNB, "Single Euro Payments Area (SEPA)" — ofte stillede spørgsmål, åbnet 21.10.2026).

Tjek i dit land — Er dit land i euroområdet, og siden hvornår? Din centralbanks SEPA-side angiver datoerne. Spørg din bank, hvor i appen du kan sætte grænsen for øjeblikkelige overførsler.

🏗 Virksomhed/organisation "Ændring af IBAN" pr. e-mail (et brev "fra en leverandør" med en ny konto) er et trick rettet mod de medarbejdere, der foretager betalinger. Verifikation af modtager og et tilbagekald til et kendt nummer ved hver ændring af konto er den billigste beskyttelse. Virksomheder kan fravælge verifikationen ved masseudbetalinger (artikel 5c, stk. 6) ✔ — ved en klar beslutning, ikke som standard.

Myte → sandhed

• Myte: "Hvis banken ikke advarede mig, er modtageren ærlig."
• Sandhed: verifikationen sammenligner et navn og et IBAN, ikke hensigter. Tjek både, hvem og hvorfor du betaler (modul 17).

Hvem tjener på det? Den, der holder en pause i et sekund ved advarslen.

→ Fortsæt ved kilden

• Forordning (EU) 2024/886: http://data.europa.eu/eli/reg/2024/886/oj ✔
• BNB — spørgsmål og svar om SEPA: https://www.bnb.bg/aboutus/aufaq/CONTR_SEPA_FAQ ✔ (åbnet 21.10.2026)

🧔 Voksen Modul 17 beskriver svindel som historier; her er de tekniske indgangspunkter:

Rammernes formel ✔: tal kun med verificerede repræsentanter for institutionen (519), undersøg beskeden (518), vær sikker nok til at stille spørgsmål ved den (520).

Hvad data viser ✔: ENISA, rapport om finanssektoren (januar 2023 – juni 2024) — ved angreb med social manipulation (phishing, smishing, vishing) er de hyppigste mål enkeltpersoner (38 % af tilfældene), og svindlerne udgiver sig oftest for at være banker (36 %); blandt nye trusler nævner rapporten også malware, der laver deepfake-videoer ud fra stjålne data til ansigtsgenkendelse (ENISA, "Threat Landscape: Finance Sector", åbnet 21.10.2026). Europol, IOCTA 2025 ("Steal, deal and repeat", 12.06.2025) — bemærker stigende brug af generativ AI, herunder store sprogmodeller, til at forstærke angreb med social manipulation (Europol, samlet årlig aktivitetsrapport 2025, åbnet 21.10.2026).

Myte → sandhed

• Myte: "Svindel kan man kende på sprogfejl."
• Sandhed: i dag kan beskeder være fejlfri. Tegnet er presset — hast, hemmeligholdelse, penge, en kode.

Hvem tjener på det? Den, der tjekker gennem en uafhængig kanal.

→ Fortsæt ved kilden

• ENISA, Threat Landscape: Finance Sector (januar 2023 – juni 2024): https://www.enisa.europa.eu/sites/default/files/2025-02/Finance%20TL%202024_Final.pdf ✔ (læst, 21.10.2026)
• Europol — IOCTA 2025: https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data ✔ (rapportens side; sammenfatningen blev kontrolleret mod Europols årsrapport for 2025)

🧔 Voksen Din forpligtelse (PSD2, artikel 69) ✔: at underrette udbyderen "without undue delay" efter at være blevet opmærksom på tab, tyveri, urettlig tilegnelse eller uautoriseret brug af betalingsinstrumentet og at "take all reasonable steps to keep its personalised security credentials safe".

Bankens forpligtelser (artikel 70, stk. 1) ✔: at stille et middel til underretning til rådighed til enhver tid, gratis, og at forhindre al brug af instrumentet, når den er underrettet. Hvis den ikke stiller et sådant middel til rådighed, bærer betaleren intet tab undtagen i tilfælde af svig (artikel 74, stk. 3); efter underretningen bærer betaleren ingen følger af yderligere brug, medmindre vedkommende har handlet svigagtigt.

Frist for underretning (PSD2, artikel 71, stk. 1) ✔: du opnår berigtigelse af en uautoriseret eller forkert udført transaktion kun, hvis du underretter "without undue delay" og senest 13 måneder efter debiteringsdatoen.

At få dine penge tilbage (PSD2, artikel 73, stk. 1) ✔: for en uautoriseret transaktion refunderer banken dig beløbet "immediately, and in any event no later than by the end of the following business day, after noting or being notified of the transaction" — medmindre den har rimelig grund til at mistænke svig og meddeler disse grunde til den relevante nationale myndighed.

Hvor meget du kan komme til at bære (PSD2, artikel 74, stk. 1) ✔: for et mistet, stjålet eller uretmæssigt tilegnet instrument — højst 50 €. Grænsen gælder ikke, hvis betaleren har handlet svigagtigt eller ikke har opfyldt sine forpligtelser forsætligt eller ved grov uagtsomhed — så bærer vedkommende hele tabet. Bevisbyrden ligger hos banken: den registrerede brug af instrumentet "shall in itself not necessarily be sufficient" til at bevise autorisation eller grov uagtsomhed (PSD2, artikel 72, stk. 2) ✔.

Grænsen for disse regler: de handler om uautoriserede transaktioner. Hvis du selv, overtalt af en svindler, bekræftede overførslen, er det omstridt, om den var "uautoriseret", og det afhænger af omstændighederne. Så: handl med det samme, bed om et skriftligt standpunkt, indgiv en klage, samarbejd med myndighederne. Reglerne er under ændring — Betalingstjenesteforordningen (PSR) og direktivet PSD3 blev politisk aftalt mellem Parlamentet og Rådet den 27.11.2025; ifølge aftalen skal udbyderen refundere hele beløbet, hvis en svindler udgiver sig for at være ansat hos udbyderen og narrer dig til at godkende en betaling, forudsat at du har anmeldt det til politiet og informeret udbyderen. Teksten skal stadig vedtages formelt af Parlamentet og Rådet, før den træder i kraft ✔ (Europa-Parlamentet, pressemeddelelse af 27.11.2025 og "Legislative Train", opdateret 20.09.2026, åbnet 21.10.2026). Indtil den træder i kraft, gælder denne regel ikke.

Hvor (supplerer modul 17, kapitel 8): først banken; ved en forbrydelse — en anmeldelse til politiet; ved en tvist med udbyderen — en klage til udbyderen, derefter et udenretsligt organ for betalingstvister; en klage kan også gå til tilsynsmyndigheden for betalingstjenesteudbydere; for personoplysninger — databeskyttelsesmyndigheden (kapitel 7). Anmeld også, når du ikke selv er offeret (535).

Eksempel: Bulgarien — Lov om betalingstjenester og betalingssystemer gentager disse regler ✔ (lex.bg, åbnet 21.10.2026): underretning uden unødigt ophold — artikel 75; 13 måneder — artikel 77, stk. 1; refusion ved udgangen af den følgende bankdag — artikel 79, stk. 1; højst 50 € — artikel 80, stk. 1 (i euro siden 01.01.2026). Hvor du kan henvende dig: it-kriminalitet hører under Generaldirektoratet for Bekæmpelse af Organiseret Kriminalitet, afdelingen for it-kriminalitet (https://www.cybercrime.bg ✔, webstedet åbnet 21.10.2026); Forligskommissionen for betalingstvister under Bulgariens forbrugerbeskyttelseskommission (CPC) er gratis, skriftlig og ikke bindende og kræver et forudgående forsøg på at nå til enighed med udbyderen ✔ (Europa-Kommissionen, consumer-redress.ec.europa.eu); BNB fører tilsyn med betalingstjenesteudbydere og træffer foranstaltninger "på eget initiativ eller på grundlag af en klage eller anmeldelse fra en bruger" ✔ (artikel 167, stk. 1–2); personoplysninger — CPDP.

Tjek i dit land — Find: politiets enhed for it-kriminalitet; det udenretslige organ for betalingstvister (Europa-Kommissionens sider om forbrugerklager viser dem land for land); tilsynsmyndigheden for betalingstjenesteudbydere (som regel centralbanken eller finanstilsynet); og din databeskyttelsesmyndighed.

Myte → sandhed

• Myte: "Jeg bekræftede det selv — der er ikke noget, jeg kan gøre."
• Sandhed: netop derfor betyder tid og dokumenter noget; nogle gange bliver pengene spærret hos modtageren, og trickset stopper.

Hvem tjener på det? Den, der handler inden for den første time.

→ Fortsæt ved kilden

• Bulgariens Lov om betalingstjenester og betalingssystemer: https://lex.bg/laws/ldoc/2137182267 ✔ (åbnet 21.10.2026; på bulgarsk) · CPC: https://kzp.bg ✔ (modul 17)

🧔 Voksen Forordning (EU) 2016/679 (GDPR) ✔:

• Artikel 4, nr. 1: personoplysninger er "any information relating to an identified or identifiable natural person", herunder "an online identifier".
• Artikel 5, stk. 1, litra c — dataminimering: oplysninger er "adequate, relevant and limited to what is necessary" i forhold til formålene.
• Artikel 15 — indsigt: retten til at få bekræftet, om oplysninger om dig behandles, og til at få indsigt i dem.
• Artikel 17 — sletning: "without undue delay", når oplysningerne ikke længere er nødvendige til de formål, som de blev indsamlet til, og på de øvrige grunde.
• Artikel 20 — dataportabilitet: de oplysninger, du har givet, "in a structured, commonly used and machine-readable format", og retten til at overføre dem til en anden dataansvarlig.
• Artikel 21 — indsigelse: af grunde, der vedrører din særlige situation; mod direkte markedsføring — når som helst.
• Artikel 7, stk. 3 — tilbagetrækning af samtykke: "at any time"; "it shall be as easy to withdraw as to give consent".
• Artikel 12, stk. 3 — frist: et svar "without undue delay and in any event within one month" (kan forlænges med yderligere to måneder ved kompleksitet).
• Artikel 77, stk. 1 — klage: "every data subject shall have the right to lodge a complaint with a supervisory authority"; artikel 82 — retten til erstatning for skade.
• Artikel 33–34 — brud på persondatasikkerheden: den dataansvarlige underretter tilsynsmyndigheden "without undue delay and, where feasible, not later than 72 hours" og den registrerede — når risikoen er høj.

Eksempel: Bulgarien — Tilsynsmyndigheden er Bulgariens kommission for beskyttelse af personoplysninger (CPDP), Sofia 1592, bulevard Prof. Tsvetan Lazarov 2; klager og anmeldelser — https://cpdp.bg ✔.

Tjek i dit land — Hvert EU-land har en databeskyttelsesmyndighed; Det Europæiske Databeskyttelsesråd (edpb.europa.eu) opregner dem alle. En klage kan også indgives i det land, hvor du bor eller arbejder.

Åben bankvirksomhed og samtykker (PSD2, artikel 66–67) ✔: en udbyder af kontoinformationstjenester skal "provide services only where based on the payment service user's explicit consent" (artikel 67, stk. 2, litra a); ved betalingsinitiering giver betaleren udtrykkeligt samtykke (artikel 66, stk. 2). I praksis: (1) vid, hvilke apps der har adgang; (2) træk de tilladelser tilbage, du ikke bruger (430); (3) giv aldrig din bankadgangskode til en tredjepartsapp — adgangen går gennem bankens egne kanaler. Hvor du kan se og trække dem tilbage — spørg din bank; metoden er forskellig fra bank til bank. Rammerne tilføjer: udbydere kan gemme en profil for at tilpasse tilbud (424), og opbevaring af finansielle dokumenter online har sikkerhedsmæssige konsekvenser (423) ✔.

Myte → sandhed

• Myte: "Samtykke er en knap, som ingen læser."
• Sandhed: det er en aftale om dine data. Du kan trække det tilbage, og det skal være lige så let, som det var at give det.

Hvem tjener på det? Den, der ved, hvilke døre vedkommende har åbnet — og lukker dem, der ikke bruges.

→ Fortsæt ved kilden

• CPDP: https://cpdp.bg ✔ · GDPR: http://data.europa.eu/eli/reg/2016/679/oj ✔

🧔 Voksen

🧔 Voksen — tjekliste Hver dag: Jeg indtaster ikke data fra et link · jeg deler ikke koder · jeg læser beløbet og modtageren, før jeg bekræfter (kap. 3) · en advarsel om "navnet passer ikke" stopper overførslen (kap. 4). Hver måned: Jeg gennemgår mine transaktioner; alt ukendt → banken samme dag · jeg opdaterer min telefon · jeg gennemgår, hvilke apps der har adgang til mine data (kap. 7) · jeg tjekker grænserne på mit kort og på øjeblikkelige overførsler. Hvert år: Jeg skifter adgangskoden til min bankkonto og e-mail · reservekoderne ligger på papir et sikkert sted · kontakttelefonnummeret i banken er opdateret · jeg sletter ubrugte konti · jeg har en sikkerhedskopi af vigtige dokumenter. Hvis der sker noget: Stop · Bloker · Fortæl · Gem (kap. 6).

🏗 Virksomhed/organisation Personlig adgang og roller · en anden faktor til alle · to underskrifter over en fastsat tærskel · tilbagekald, når en konto ændres · årlig træning · en skriftlig plan for "hvad vi gør ved en hændelse".

Myte → sandhed

• Myte: "Sikkerhed er bankens opgave."
• Sandhed: banken bærer store forpligtelser (kap. 3, 6), men nøglen er hos dig. Den billigste del af sikkerheden er din.

Hvem tjener på det? Den, der laver det lille tjek hver måned i stedet for den store reparation én gang.

→ Fortsæt ved kilden

• ENISA — Cyber Hygiene: https://www.enisa.europa.eu/topics/cyber-hygiene ✔ · ECB — den digitale euro: https://www.ecb.europa.eu/euro/digital_euro/html/index.en.html ✔ (åbnet 21.10.2026)

🧔 Voksen Hvad loven siger (kort):

• En direkte opfordring til børn er forbudt. Direktiv 2005/29/EF om urimelig handelspraksis, bilag I, nr. 28 — altid urimeligt er "including in an advertisement a direct exhortation to children to buy advertised products or persuade their parents or other adults to buy advertised products for them" ✔. En "Køb nu!"-knap rettet mod et barn i et spil falder inden for denne logik.
• Dark patterns. Retsakten om digitale tjenester (forordning (EU) 2022/2065, artikel 25) forbyder onlineplatforme at udforme deres grænseflader på en måde, der vildleder eller manipulerer brugere; eksempler er gentagne gange at bede om et valg, der allerede er truffet, og at gøre det sværere at opsige en tjeneste end at tilmelde sig ✔.
• Virtuelle valutaer i spil. Netværket af nationale forbrugerbeskyttelsesmyndigheder i EU (CPC-netværket) vedtog "Key Principles on In-Game Virtual Currencies" i marts 2025. Europa-Kommissionen sammenfatter dem som: klare priser og oplysninger før aftalen; ingen praksis, der skjuler prisen på indhold; ingen tvang til at købe virtuel valuta; respekt for fortrydelsesretten; hensyn til forbrugernes sårbarhed, især børns ✔ (Europa-Kommissionens side, 3.06.2025, åbnet igen 21.10.2026). Principperne er ikke en ny lov: CPC-netværket beskriver dem som ikke-udtømmende principper, som erhvervsdrivende skal følge for at overholde den gældende EU-forbrugerret — det retsgrundlag, det nævner, er direktivet om urimelig handelspraksis og forbrugerrettighedsdirektivet ✔. Princip 1 kræver, at prisen på den virtuelle valuta og på det indhold, der købes med den, vises klart også i rigtige penge ✔ (CPC, "Key Principles on In-game Virtual Currencies", 21.03.2025, åbnet 21.10.2026).
• Spil om penge er for voksne. I hele EU er pengespil reguleret nationalt, og adgangen for mindreårige er begrænset.

Eksempel: Bulgarien — Bulgariens skatte- og indkomstagentur (NRA) har en side om "Forældrekontrol", der skal holde børn væk fra pengespil ✔ (nra.bg). Loven giver ikke personer under 18 adgang til spillehaller og kasinoer og forbyder salg af lotterisedler til under 18-årige ✔ (Lov om pengespil, artikel 45, stk. 2, og artikel 9, stk. 11, lex.bg, åbnet 21.10.2026).

Tjek i dit land — Hvilken myndighed regulerer pengespil (ofte en spillemyndighed eller skattemyndigheden), og hvad siger den om mindreårige og forældrekontrol?

Betalte belønningskasser — du betaler uden at vide, hvad du får — hviler på den samme tilfældighed; derhjemme er den enkleste regel: ikke med et barns penge.

Sådan ordner I det derhjemme uden krig:

1. Slå det gemte kort fra på enheden og i spillet. Et køb, der kræver bekræftelse, er den enkleste bremse.
2. Brug et forudbetalt beløb — et gavekort, en børnekonto eller et forudbetalt kort med en grænse (modul 26, modul 21 kapitel 8). Når det er brugt, er det brugt.
3. Gennemgå kontoudtoget — køb i spil er små og mange; sammen udgør de måneden.
4. Tal om følelsen, ikke kun beløbet: "Hvad ville du opnå med det her? Fik du det?"

Hvis et barn har købt noget uden tilladelse: bevar roen. Saml datoer og beløb, kontakt spiludbyderen eller app-butikken og bed om en refusion; hvis det blev betalt med kort — også banken (modul 21 kapitel 5). Ved en tvist med en erhvervsdrivende — forbrugerbeskyttelsesmyndigheden (i Bulgarien CPC: kzp.bg). En refusion er ikke garanteret og afhænger af udbyderens vilkår.

Myte → sandhed

• Myte: "Et gratis spil er gratis."
• Sandhed: du betaler med tid, med opmærksomhed og nogle gange med mange små køb. Det er gratis, når du selv bestemmer, hvor meget du giver.
• Myte: "Jeg får den fra denne kasse — nu er jeg tæt på."
• Sandhed: hvert træk er nyt. De tidligere bringer dig ikke "tættere på", medmindre reglerne udtrykkeligt siger det.

Hvem tjener på det? Producenten — på din tid, din opmærksomhed og de mange små køb. Dig — når du på forhånd ved, hvor meget tid og hvor mange euro du giver til spillet, og nyder hvert minut.

Eksempel (fiktivt): Mira, 12 år, vil have et outfit til sin figur. Det koster 450 tokens, og den mindste pakke er 500 tokens for 4,99 €. Med "euro-brillerne" ser hun: outfittet koster hende 4,99 €, og 50 tokens er til overs, som ikke er nok til noget alene. Hun beslutter at købe det for sine lommepenge om en uge — hvis hun stadig vil have det. Det vil hun ikke.

Dit skridt i Pecuvo: opret en kurv "Spil og apps" i tegnebogen med en månedlig grænse (den kan være 0 €). Hvert køb går dertil. En gang om måneden — fem minutter sammen: hvad vi købte, og om vi stadig har glæde af det.

→ Fortsæt ved kilden

• Direktiv 2005/29/EF (urimelig handelspraksis), bilag I: http://data.europa.eu/eli/dir/2005/29/oj ✔
• Forordning (EU) 2022/2065 (digitale tjenester), artikel 25 og 28: http://data.europa.eu/eli/reg/2022/2065/oj ✔
• Europa-Kommissionen — CPC-netværkets nøgleprincipper om virtuelle valutaer i spil: https://commission.europa.eu/news-and-media/news/european-commission-hosts-stakeholders-talks-application-cpc-networks-key-principles-games-virtual-2025-06-03_en ✔
• NRA — "Forældrekontrol": https://nra.bg/wps/portal/nra/gambling/responsible.gambling/Roditelski-kontrol ✔ (siden blev fundet via søgning; teksten blev ikke læst fuldt ud; på bulgarsk)

EU/OECD-INFE's rammer for børn og unge (2023): kompetence nr. 62 · 63 · 115 · 117 · 225 · 228 · 232