Digital økonomi og sikkerhet

🧔 Voksen Loven (PSD2, artikkel 4) definerer to tjenester som leveres av tredjepartsleverandører ✔: en betalingsinitieringstjeneste — «a service to initiate a payment order at the request of the payment service user with respect to a payment account held at another payment service provider» (punkt 15), og en kontoinformasjonstjeneste — «an online service to provide consolidated information on one or more payment accounts» som holdes hos andre leverandører (punkt 16). Før du stoler på dem, sjekk at leverandøren er lisensiert eller registrert (kompetanse 406, 409). I hvert EU-land fører den nasjonale tilsynsmyndigheten et offentlig register, og Den europeiske bankmyndigheten (EBA) fører et sentralt register etter artikkel 15 i PSD2, fritt tilgjengelig ✔ (eba.europa.eu). Rammeverket forventer også at du vet at noen digitale produkter er mer risikable fordi de er mindre regulert (370) ✔.

Eksempel: Bulgaria — BNB fører offentlige registre over betalingsforetak, e-pengeforetak og leverandører av kontoinformasjonstjenester etter artikkel 19 i Bulgarias lov om betalingstjenester og betalingssystemer ✔ (bnb.bg, «Registers under the Payment Services and Payment Systems Act», åpnet 21.10.2026).

Sjekk i ditt eget land — Hvilken myndighet fører registeret over betalingsforetak og e-pengeforetak (vanligvis sentralbanken eller finanstilsynet)? Søk der, eller i EBAs sentrale register, etter leverandørens navn før du kobler en app til kontoen din.

Myte → sannhet

• Myte: «Digitalt er mindre trygt enn en lommebok.»
• Sannhet: det er annerledes. En stjålet lommebok merker du med en gang; et stjålet passord merker du ikke. Derfor trenger digitale penger vaner (kapittel 9) og har ekstra beskyttelse.

Hvem tjener på det? Den som vet hvor nøklene sine er.

→ Fortsett hos kilden

• Direktiv (EU) 2015/2366: http://data.europa.eu/eli/dir/2015/2366/oj ✔
• BNB — Registers under the Payment Services and Payment Systems Act: https://www.bnb.bg/RegistersAndServices/RSPIPublicRegisters/index.htm ✔ (åpnet 21.10.2026)

🧔 Voksen De tre typene bevis som all digital sikkerhet hviler på: kunnskap (passord, PIN), besittelse (telefon, kort, fysisk nøkkel), iboende kjennetegn (fingeravtrykk, ansikt). Svake punkter:

• En SMS-kode er «besittelse» av nummeret, ikke av telefonen — nummeret kan flyttes (SIM-bytte, kapittel 5). ENISA anbefaler: hvis du kan velge, bruk en passnøkkel (passkey), en fysisk nøkkel eller en autentiseringsapp — de er i prinsippet tryggere enn en SMS-kode ✔ (ENISA, «Cyber Hygiene», åpnet 21.10.2026).
• Biometri er ikke hemmelig og kan ikke byttes som et passord; den låser opp enheten, og PIN-koden er reserveinngangen.
• Reservekoder for gjenoppretting oppbevares på papir — de er «nøkkelen til nøkkelen».

🏗 Bedrift/organisasjon Et delt passord etterlater ingen spor og kan ikke tas tilbake når en person slutter. Personlig tilgang, roller og en andre faktor for alle som har tilgang til selskapets bankkonto.

Myte → sannhet

• Myte: «Jeg er ikke viktig — ingen hacker kontoen min.»
• Sannhet: automatiske programmer prøver millioner av lekkede passord. Det som gjør deg sårbar, er ikke hvor viktig du er, men et gjenbrukt passord.

Hvem tjener på det? Den som har minst to ulike låser.

→ Fortsett hos kilden

• ENISA — Cyber Hygiene (lange unike passord, passordbehandler, passnøkler, autentiseringsapp): https://www.enisa.europa.eu/topics/cyber-hygiene ✔ (åpnet 21.10.2026)

🧔 Voksen Definisjon (PSD2, artikkel 4, punkt 30) ✔: «strong customer authentication» betyr «an authentication based on the use of two or more elements categorised as knowledge (something only the user knows), possession (something only the user possesses) and inherence (something the user is) that are independent, in that the breach of one does not compromise the reliability of the others, and is designed in such a way as to protect the confidentiality of the authentication data».

Når det kreves (artikkel 97(1)) ✔: når betaleren «(a) accesses its payment account online; (b) initiates an electronic payment transaction; (c) carries out any action through a remote channel which may imply a risk of payment fraud or other abuses». For fjernbetalinger omfatter autentiseringen elementer som «dynamically link the transaction to a specific amount and a specific payee» (artikkel 97(2)) ✔. Derfor er koden gyldig bare for denne betalingen — les beløpet og mottakeren før du bekrefter.

Eksempel: Bulgaria — Bulgarias lov om betalingstjenester og betalingssystemer, artikkel 100(1), pålegger leverandører å bruke sterk kundeautentisering av betaleren i de samme tre tilfellene ✔ (gjeldende tekst på lex.bg, åpnet 21.10.2026).

Sjekk i ditt eget land — PSD2 er gjennomført i en nasjonal lov om betalingstjenester i hvert EU-land; regelen er den samme. Bankens brukervilkår forklarer hvilke metoder (app, kortleser, SMS) den godtar.

Tekniske krav (delegert forordning (EU) 2018/389) ✔: koden godtas bare én gang (artikkel 4(1)); ingen andre elementer kan utledes av den (artikkel 4(2)). Banken kan (den er ikke forpliktet til) bruke unntak: kontaktløse betalinger opptil 50 € per transaksjon og opptil 150 € samlet eller opptil fem påfølgende betalinger (artikkel 11); visning av saldo eller transaksjoner de siste 90 dagene (artikkel 10); «betrodde mottakere», hvis liste opprettes med sterk autentisering (artikkel 13). (✔ kontrollert mot den konsoliderte teksten per 25.07.2023: artikkel 11 — 50 €, 150 €, fem betalinger; artikkel 10 — 90 dager og ny autentisering etter 180 dager; senere endringer er ikke undersøkt.)

Hva det betyr for deg: hvis banken ikke krever sterk autentisering der loven krever det, bærer betaleren ingen tap med mindre vedkommende handlet svikaktig (PSD2, artikkel 74(2)) ✔.

Myte → sannhet

• Myte: «Det andre steget er bare unødvendig bry.»
• Sannhet: brydet er prisen for å sikre at én stjålet hemmelighet ikke er nok. Koden er ditt «ja» til én bestemt betaling — del den aldri.

Hvem tjener på det? Du — når et stjålet passord alene ikke kan ta pengene.

→ Fortsett hos kilden

• PSD2: http://data.europa.eu/eli/dir/2015/2366/oj ✔ · Forordning 2018/389: http://data.europa.eu/eli/reg_del/2018/389/oj ✔ · Bulgarias lov om betalingstjenester og betalingssystemer: https://lex.bg/laws/ldoc/2137182267 ✔ (åpnet 21.10.2026; på bulgarsk)

🧔 Voksen Forordning (EU) 2024/886 endrer forordning (EU) nr. 260/2012 og tilføyer nye artikler 5a, 5b, 5c og 5d ✔.

• Definisjon (artikkel 2, punkt 1a): en direkte kredittoverføring er «a credit transfer which is executed immediately, 24 hours a day and on any calendar day».
• Tilbud (artikkel 5a(1)): leverandører som tilbyr kredittoverføringer, må tilby alle sine brukere både å sende og å motta direkte kredittoverføringer.
• 10 sekunder (artikkel 5a(4)(c) og (5)): beløpet må være tilgjengelig for mottakeren innen 10 sekunder; kommer det ingen bekreftelse, tilbakefører betalerens leverandør umiddelbart kontoen.
• En grense du velger selv (artikkel 5a(6)): på forespørsel må banken tilby deg et maksimumsbeløp for direkteoverføringer — per dag eller per transaksjon; en ordre over grensen utføres ikke. Et effektivt vern mot rask tømming av en konto.
• Pris (artikkel 5b): gebyrene for en direkteoverføring kan ikke være høyere enn for en vanlig; kontroll av mottaker er gratis.
• Kontroll av mottaker (artikkel 5c(1)(a)): tjenesten utføres «immediately after the payer provides relevant information about the payee and before the payer is offered the possibility of authorising that credit transfer». Hvis det ikke er samsvar, opplyser banken betaleren om at godkjenning «might lead to transferring the funds to a payment account not held by the payee indicated by the payer»; ved nesten-samsvar viser den navnet knyttet til IBAN-en. For selskaper er kontroll med skatte- eller avgiftsnummer, europeisk unik identifikator eller LEI også mulig (bokstav (b)).
• Konsekvenser (nr. 7–8): banken opplyser deg om konsekvensene av å ignorere advarselen. Hvis den ikke utførte kontrollen og overføringen gikk til feil konto, får betaleren beløpet tilbake uten opphold; hvis den utførte den og du bekreftet til tross for advarselen, er ikke banken ansvarlig for overføringen til feil mottaker.

Fra når: for leverandører i euroland — mottak av direkteoverføringer fra 9.01.2025, sending og kontroll av mottaker fra 9.10.2025; for land utenfor euroområdet — 9.01.2027 (mottak) og 9.07.2027 (sending, kontroll); betalingsforetak og e-pengeforetak i euroområdet — 9.04.2027 ✔ (artikkel 5a, 5b, 5c i den endrede forordning 260/2012). For et land som slutter seg til euroen senere, gjelder den nye artikkel 16(9) i forordning 260/2012 (tilføyd av 2024/886, artikkel 1, punkt 5): leverandørene der må følge artikkel 5a–5c «within one year» etter at euroen er innført, men ikke senere enn datoene for land utenfor euroområdet og ikke tidligere enn datoene for euroområdet. Mange banker kan ha innført tjenestene tidligere; sjekk hos din.

Eksempel: Bulgaria — Bulgaria har vært med i euroområdet siden 01.01.2026, altså etter datoene for euroområdet, så artikkel 16(9) gjelder. BNB bekrefter at betalingstjenesteleverandører i Bulgaria må tilby sending og mottak av direkteoverføringer i euro og kontroll av mottaker fra 1. januar 2027 ✔ (BNB, «Single Euro Payments Area (SEPA)» — ofte stilte spørsmål, åpnet 21.10.2026).

Sjekk i ditt eget land — Er landet ditt med i euroområdet, og siden når? Sentralbankens SEPA-side oppgir datoene. Spør banken din hvor i appen du kan sette grensen for direkteoverføringer.

🏗 Bedrift/organisasjon «IBAN-endring» på e-post (et brev «fra en leverandør» med en ny konto) er et opplegg rettet mot de ansatte som foretar betalinger. Kontroll av mottaker og en tilbakeringing til et kjent nummer ved hver kontoendring er det billigste vernet. Selskaper kan velge bort kontrollen for masseutbetalinger (artikkel 5c(6)) ✔ — ved en bevisst beslutning, ikke som standard.

Myte → sannhet

• Myte: «Hvis banken ikke advarte meg, er mottakeren ærlig.»
• Sannhet: kontrollen sammenligner et navn og en IBAN, ikke hensikter. Sjekk både hvem og hvorfor du betaler (modul 17).

Hvem tjener på det? Den som stopper et sekund ved advarselen.

→ Fortsett hos kilden

• Forordning (EU) 2024/886: http://data.europa.eu/eli/reg/2024/886/oj ✔
• BNB — spørsmål og svar om SEPA: https://www.bnb.bg/aboutus/aufaq/CONTR_SEPA_FAQ ✔ (åpnet 21.10.2026)

🧔 Voksen Modul 17 beskriver svindel som historier; her er de tekniske inngangspunktene:

Rammeverkets formel ✔: snakk bare med verifiserte representanter for institusjonen (519), undersøk meldingen (518), ha nok selvtillit til å stille spørsmål ved den (520).

Hva dataene viser ✔: ENISA, rapport om finanssektoren (januar 2023 – juni 2024) — ved angrep med sosial manipulering (phishing, smishing, vishing) er enkeltpersoner de hyppigste målene (38 % av tilfellene), og svindlerne utgir seg oftest for å være banker (36 %); blant nye trusler nevner rapporten også skadevare som lager deepfake-videoer av stjålne data for ansiktsgjenkjenning (ENISA, «Threat Landscape: Finance Sector», åpnet 21.10.2026). Europol, IOCTA 2025 («Steal, deal and repeat», 12.06.2025) — peker på økende bruk av generativ KI, inkludert store språkmodeller, for å forsterke angrep med sosial manipulering (Europol, consolidated annual activity report 2025, åpnet 21.10.2026).

Myte → sannhet

• Myte: «Du kan avsløre svindel på språkfeil.»
• Sannhet: i dag kan meldinger være feilfrie. Tegnet er presset — hast, hemmelighold, penger, en kode.

Hvem tjener på det? Den som sjekker gjennom en uavhengig kanal.

→ Fortsett hos kilden

• ENISA, Threat Landscape: Finance Sector (januar 2023 – juni 2024): https://www.enisa.europa.eu/sites/default/files/2025-02/Finance%20TL%202024_Final.pdf ✔ (lest, 21.10.2026)
• Europol — IOCTA 2025: https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data ✔ (rapportens side; sammendraget ble kontrollert mot Europols årsrapport for 2025)

🧔 Voksen Din plikt (PSD2, artikkel 69) ✔: å varsle leverandøren «without undue delay» når du blir klar over tap, tyveri, urettmessig tilegnelse eller uautorisert bruk av betalingsinstrumentet, og å «take all reasonable steps to keep its personalised security credentials safe».

Bankens plikter (artikkel 70(1)) ✔: å tilby en måte å varsle på til enhver tid, gratis, og å hindre all bruk av instrumentet når varselet er gitt. Hvis den ikke tilbyr en slik måte, bærer betaleren ingen tap unntatt ved svik (artikkel 74(3)); etter varselet bærer betaleren ingen følger av videre bruk med mindre vedkommende handlet svikaktig.

Frist for varsling (PSD2, artikkel 71(1)) ✔: du får en uautorisert eller feilaktig utført transaksjon rettet bare hvis du varsler «without undue delay» og senest 13 måneder etter belastningsdatoen.

Å få pengene tilbake (PSD2, artikkel 73(1)) ✔: for en uautorisert transaksjon refunderer banken deg beløpet «immediately, and in any event no later than by the end of the following business day, after noting or being notified of the transaction» — med mindre den har rimelig grunn til å mistenke svik og meddeler disse grunnene til den aktuelle nasjonale myndigheten.

Hvor mye du kan måtte bære (PSD2, artikkel 74(1)) ✔: for et tapt, stjålet eller urettmessig tilegnet instrument — høyst 50 €. Grensen gjelder ikke hvis betaleren handlet svikaktig eller ikke oppfylte sine plikter forsettlig eller ved grov uaktsomhet — da bærer vedkommende hele tapet. Bevisbyrden ligger hos banken: den registrerte bruken av instrumentet «shall in itself not necessarily be sufficient» for å bevise autorisasjon eller grov uaktsomhet (PSD2, artikkel 72(2)) ✔.

Grensen for disse reglene: de gjelder uautoriserte transaksjoner. Hvis du selv, overtalt av en svindler, bekreftet overføringen, er det omstridt om den var «uautorisert», og det avhenger av omstendighetene. Så: handle med en gang, be om en skriftlig stillingtagen, send en klage, samarbeid med myndighetene. Reglene er i endring — forordningen om betalingstjenester (PSR) og direktivet PSD3 ble politisk avtalt mellom Parlamentet og Rådet 27.11.2025; ifølge avtalen skal leverandøren refundere hele beløpet hvis en svindler utgir seg for å være ansatt hos leverandøren og lurer deg til å godkjenne en betaling, forutsatt at du har anmeldt det til politiet og informert leverandøren. Teksten må fortsatt formelt vedtas av Parlamentet og Rådet før den trer i kraft ✔ (Europaparlamentet, pressemelding av 27.11.2025 og «Legislative Train», oppdatering av 20.09.2026, åpnet 21.10.2026). Før den trer i kraft, gjelder ikke denne regelen.

Hvor (utfyller modul 17, kapittel 8): først banken; ved en forbrytelse — en anmeldelse til politiet; ved en tvist med leverandøren — en klage til leverandøren, deretter et utenrettslig organ for betalingstvister; en klage kan også sendes til tilsynsmyndigheten for betalingstjenesteleverandører; for personopplysninger — datatilsynet (kapittel 7). Meld fra selv om du ikke er offeret (535).

Eksempel: Bulgaria — Bulgarias lov om betalingstjenester og betalingssystemer gjentar disse reglene ✔ (lex.bg, åpnet 21.10.2026): varsling uten ugrunnet opphold — artikkel 75; 13 måneder — artikkel 77(1); refusjon innen utgangen av neste virkedag — artikkel 79(1); høyst 50 € — artikkel 80(1) (i euro siden 01.01.2026). Hvor du kan henvende deg: nettkriminalitet hører under Generaldirektoratet for bekjempelse av organisert kriminalitet, avdelingen for nettkriminalitet (https://www.cybercrime.bg ✔, nettstedet åpnet 21.10.2026); forliksnemnda for betalingstvister ved Bulgarias forbrukervernkommisjon (CPC) er gratis, skriftlig og ikke bindende, og krever et forutgående forsøk på å løse saken med leverandøren ✔ (EU-kommisjonen, consumer-redress.ec.europa.eu); BNB fører tilsyn med betalingstjenesteleverandører og treffer tiltak «on its own initiative or on the basis of a complaint or report from a user» ✔ (artikkel 167(1)–(2)); personopplysninger — CPDP.

Sjekk i ditt eget land — Finn: politiets enhet for nettkriminalitet; det utenrettslige organet for betalingstvister (EU-kommisjonens sider om forbrukerklager lister dem opp etter land); tilsynsmyndigheten for betalingstjenesteleverandører (vanligvis sentralbanken eller finanstilsynet); og datatilsynet i landet ditt.

Myte → sannhet

• Myte: «Jeg bekreftet det selv — det er ingenting jeg kan gjøre.»
• Sannhet: derfor er tid og dokumenter viktige; noen ganger blir pengene blokkert hos mottakeren, og opplegget stopper.

Hvem tjener på det? Den som handler i løpet av den første timen.

→ Fortsett hos kilden

• Bulgarias lov om betalingstjenester og betalingssystemer: https://lex.bg/laws/ldoc/2137182267 ✔ (åpnet 21.10.2026; på bulgarsk) · CPC: https://kzp.bg ✔ (modul 17)

🧔 Voksen Forordning (EU) 2016/679 (GDPR) ✔:

• Artikkel 4, punkt 1: personopplysninger er «any information relating to an identified or identifiable natural person», inkludert «an online identifier».
• Artikkel 5(1)(c) — dataminimering: opplysningene er «adequate, relevant and limited to what is necessary» for formålene.
• Artikkel 15 — innsyn: retten til bekreftelse på om opplysninger om deg behandles, og til innsyn i dem.
• Artikkel 17 — sletting: «without undue delay», når opplysningene ikke lenger er nødvendige for formålene de ble samlet inn for, og på de andre grunnlagene.
• Artikkel 20 — dataportabilitet: opplysningene du ga, «in a structured, commonly used and machine-readable format», og retten til å overføre dem til en annen behandlingsansvarlig.
• Artikkel 21 — innsigelse: på grunnlag av din særlige situasjon; mot direkte markedsføring — når som helst.
• Artikkel 7(3) — tilbaketrekking av samtykke: «at any time»; «it shall be as easy to withdraw as to give consent».
• Artikkel 12(3) — frist: et svar «without undue delay and in any event within one month» (kan forlenges med ytterligere to måneder ved kompleksitet).
• Artikkel 77(1) — klage: «every data subject shall have the right to lodge a complaint with a supervisory authority»; artikkel 82 — retten til erstatning for skade.
• Artikkel 33–34 — brudd på personopplysningssikkerheten: den behandlingsansvarlige varsler tilsynsmyndigheten «without undue delay and, where feasible, not later than 72 hours», og den registrerte — når risikoen er høy.

Eksempel: Bulgaria — Tilsynsmyndigheten er Bulgarias personvernkommisjon (CPDP), Sofia 1592, bulevard Prof. Tsvetan Lazarov 2; klager og meldinger — https://cpdp.bg ✔.

Sjekk i ditt eget land — Hvert EU-land har en myndighet for personvern; Det europeiske personvernrådet (edpb.europa.eu) lister dem alle opp. En klage kan også sendes i landet der du bor eller arbeider.

Åpen bankvirksomhet og samtykker (PSD2, artikkel 66–67) ✔: en leverandør av kontoinformasjonstjenester skal «provide services only where based on the payment service user's explicit consent» (artikkel 67(2)(a)); ved betalingsinitiering gir betaleren uttrykkelig samtykke (artikkel 66(2)). I praksis: (1) vit hvilke apper som har tilgang; (2) trekk tilbake tillatelsene du ikke bruker (430); (3) gi aldri nettbankpassordet ditt til en tredjepartsapp — tilgangen går gjennom bankens egne kanaler. Hvor du ser og trekker dem tilbake — spør banken din; framgangsmåten er ulik fra bank til bank. Rammeverket legger til: leverandører kan føre en profil for å tilpasse tilbud (424), og lagring av økonomiske dokumenter på nett har sikkerhetsmessige konsekvenser (423) ✔.

Myte → sannhet

• Myte: «Samtykke er en knapp ingen leser om.»
• Sannhet: det er en avtale om dataene dine. Du kan trekke det tilbake, og det må være like enkelt som det var å gi det.

Hvem tjener på det? Den som vet hvilke dører de har åpnet — og lukker de som ikke brukes.

→ Fortsett hos kilden

• CPDP: https://cpdp.bg ✔ · GDPR: http://data.europa.eu/eli/reg/2016/679/oj ✔

🧔 Voksen

🧔 Voksen — sjekkliste Hver dag: jeg skriver ikke inn data fra en lenke · jeg deler ikke koder · jeg leser beløpet og mottakeren før jeg bekrefter (kap. 3) · en advarsel om at «navnet stemmer ikke» stopper overføringen (kap. 4). Hver måned: jeg gjennomgår transaksjonene mine; alt ukjent → banken samme dag · jeg oppdaterer telefonen · jeg går gjennom hvilke apper som har tilgang til dataene mine (kap. 7) · jeg sjekker grensene på kortet og for direkteoverføringer. Hvert år: jeg bytter passordet på bankkontoen og e-posten · reservekoder ligger på papir på et trygt sted · kontakttelefonnummeret i banken er oppdatert · jeg sletter ubrukte kontoer · jeg har en sikkerhetskopi av viktige dokumenter. Hvis noe skjer: Stopp · Blokker · Fortell · Behold (kap. 6).

🏗 Bedrift/organisasjon Personlig tilgang og roller · en andre faktor for alle · to signaturer over en fastsatt terskel · tilbakeringing når en konto endres · årlig opplæring · en skriftlig plan for «hva vi gjør ved en hendelse».

Myte → sannhet

• Myte: «Sikkerhet er bankens jobb.»
• Sannhet: banken har store plikter (kap. 3, 6), men nøkkelen har du. Den billigste delen av sikkerheten er din.

Hvem tjener på det? Den som gjør den lille sjekken hver måned i stedet for den store reparasjonen én gang.

→ Fortsett hos kilden

• ENISA — Cyber Hygiene: https://www.enisa.europa.eu/topics/cyber-hygiene ✔ · ECB — den digitale euroen: https://www.ecb.europa.eu/euro/digital_euro/html/index.en.html ✔ (åpnet 21.10.2026)

🧔 Voksen Hva loven sier (kort):

• En direkte oppfordring til barn er forbudt. Direktivet om urimelig handelspraksis 2005/29/EF, vedlegg I, punkt 28 — alltid urimelig er «including in an advertisement a direct exhortation to children to buy advertised products or persuade their parents or other adults to buy advertised products for them» ✔. En «Kjøp nå!»-knapp rettet mot et barn i et spill faller inn under denne logikken.
• Villedende design (dark patterns). Tjenesteloven for digitale tjenester (Digital Services Act, forordning (EU) 2022/2065, artikkel 25) forbyr nettplattformer å utforme grensesnittene sine slik at de lurer eller manipulerer brukere; eksempler er å be om et valg som allerede er tatt flere ganger, og å gjøre det vanskeligere å si opp en tjeneste enn å melde seg på ✔.
• Virtuelle valutaer i spill. Nettverket av nasjonale forbrukervernmyndigheter i EU (CPC-nettverket) vedtok «Key Principles on In-Game Virtual Currencies» i mars 2025. EU-kommisjonen sammenfatter dem slik: tydelige priser og informasjon før avtaleinngåelse; ingen praksis som skjuler kostnaden av innholdet; ingen tvang til å kjøpe virtuell valuta; respekt for angreretten; hensyn til forbrukernes sårbarhet, særlig barns ✔ (EU-kommisjonens side, 3.06.2025, åpnet på nytt 21.10.2026). Prinsippene er ikke en ny lov: CPC-nettverket beskriver dem som ikke-uttømmende prinsipper for næringsdrivende som skal følge gjeldende EU-forbrukerrett — det rettslige grunnlaget det nevner, er direktivet om urimelig handelspraksis og forbrukerrettighetsdirektivet ✔. Prinsipp 1 krever at prisen på den virtuelle valutaen og på innholdet som kjøpes med den, vises tydelig også i ekte penger ✔ (CPC, «Key Principles on In-game Virtual Currencies», 21.03.2025, åpnet 21.10.2026).
• Pengespill er for voksne. I hele EU er pengespill regulert nasjonalt, og tilgangen for mindreårige er begrenset.

Eksempel: Bulgaria — Bulgarias skatte- og inntektsetat (NRA) har en side om «foreldrekontroll» for å holde barn unna pengespill ✔ (nra.bg). Loven slipper ikke personer under 18 inn i spillehaller og kasinoer og forbyr salg av lottokuponger til personer under 18 ✔ (Gambling Act, artikkel 45(2) og artikkel 9(11), lex.bg, åpnet 21.10.2026).

Sjekk i ditt eget land — Hvilken myndighet regulerer pengespill (ofte et spilltilsyn eller skattemyndigheten), og hva sier den om mindreårige og foreldrekontroll?

Betalte belønningsbokser — du betaler uten å vite hva du får — bygger på den samme tilfeldigheten; hjemme er den enkleste regelen: ikke med barnets penger.

Slik ordner dere det hjemme, uten krig:

1. Slå av det lagrede kortet på enheten og i spillet. Et kjøp som må bekreftes, er den enkleste bremsen.
2. Bruk et forhåndsbetalt beløp — et gavekort, en barnekonto eller et forhåndsbetalt kort med en grense (modul 26, modul 21 kapittel 8). Når det er brukt opp, er det brukt opp.
3. Gå gjennom kontoutskriften — kjøp i spill er små og mange; sammen utgjør de måneden.
4. Snakk om følelsen, ikke bare beløpet: «Hva ville du oppnå med dette? Fikk du det?»

Hvis et barn har kjøpt noe uten tillatelse: hold deg rolig. Samle datoer og beløp, kontakt spillleverandøren eller appbutikken og be om refusjon; hvis det ble betalt med kort — banken også (modul 21 kapittel 5). I en tvist med en næringsdrivende — forbrukervernmyndigheten (i Bulgaria CPC: kzp.bg). Refusjon er ikke garantert og avhenger av leverandørens vilkår.

Myte → sannhet

• Myte: «Et gratis spill er gratis.»
• Sannhet: du betaler med tid, med oppmerksomhet og noen ganger med mange små kjøp. Det er gratis når du bestemmer hvor mye du gir.
• Myte: «Jeg får det fra denne boksen — jeg er nær nå.»
• Sannhet: hver trekning er ny. De forrige bringer deg ikke «nærmere», med mindre reglene uttrykkelig sier det.

Hvem tjener på det? Produsenten — på tiden din, oppmerksomheten din og de mange små kjøpene. Du — når du på forhånd vet hvor mye tid og hvor mange euro du gir til spillet, og nyter hvert minutt.

Eksempel (fiktivt): Mira, 12, vil ha en drakt til figuren sin. Den koster 450 poletter, og den minste pakken er 500 poletter for 4,99 €. Med «eurobrillene» ser hun: drakten koster henne 4,99 €, og 50 poletter blir til overs som ikke strekker til til noe alene. Hun bestemmer seg for å kjøpe den for lommepengene sine om en uke — hvis hun fortsatt vil ha den. Det vil hun ikke.

Ditt steg i Pecuvo: opprett en «Spill og apper»-kurv i lommeboken med en månedlig grense (den kan være 0 €). Hvert kjøp går dit. Én gang i måneden — fem minutter sammen: hva vi kjøpte og om vi fortsatt har glede av det.

→ Fortsett hos kilden

• Direktiv 2005/29/EF (urimelig handelspraksis), vedlegg I: http://data.europa.eu/eli/dir/2005/29/oj ✔
• Forordning (EU) 2022/2065 (digitale tjenester), artikkel 25 og 28: http://data.europa.eu/eli/reg/2022/2065/oj ✔
• EU-kommisjonen — CPC-nettverkets nøkkelprinsipper om virtuelle valutaer i spill: https://commission.europa.eu/news-and-media/news/european-commission-hosts-stakeholders-talks-application-cpc-networks-key-principles-games-virtual-2025-06-03_en ✔
• NRA — «Foreldrekontroll»: https://nra.bg/wps/portal/nra/gambling/responsible.gambling/Roditelski-kontrol ✔ (siden ble funnet ved søk; teksten er ikke lest i sin helhet; på bulgarsk)

EU/OECD-INFE-rammeverket for barn og unge (2023): kompetanse nr. 62 · 63 · 115 · 117 · 225 · 228 · 232