Wat hebben wij te maken met jouw nieuwe cowboylaarzen?
Het gaat snel in de wereld van betalingen. Twee belangrijke ontwikkelingen die je wellicht niet eens opmerkt als je online nieuwe spullen aanschaft, of bij je arts of apotheker betaalt met je smartphone, komen uitgebreid aan bod in ons rapport over financiële structuren en betalingen. Ze zijn het gevolg van Europese wetgeving die bekend staat als de Tweede Richtlijn Betalingsdiensten (Payment Services Directive 2 of PSD2 in het Engels). Die spelregels zijn in 2018 omgezet in Belgische wetgeving en daarna succesvol ingevoerd door de Belgische betalingssector, onder begeleiding van de Nationale Bank van België.
PSD2 heeft twee doelen:
- Zorgen voor een sterkere beveiliging van betalingen dankzij een sterke authenticatie van de betaler, een regel die bekend staat als 'Strong Customer Authentication' (SCA).
- De concurrentie en innovatie vergroten in financiële diensten door de toegang tot jouw betaalrekening te verzekeren voor nieuwe spelers op de markt. Dit heet ‘Open Bankieren’.
Wat is SCA?
SCA is simpelweg de regel dat elke betalingstransactie die je als betaler doet, door jou moet worden geauthenticeerd. Het betekent dat wanneer je online jouw cowboyboots betaalt met bijvoorbeeld een creditcard, die website (of het nu Zalando.be, Bol.com of een andere Europese website is) moet verifiëren dat jij het wel bent en dat die creditcard van jou is. Dat wil zeggen dat je je moet identificeren of 'authenticeren', zoals wij dat noemen. Het doel is uiteraard om fraude te verminderen.
SCA betekent dat de betaler elke betalingstransactie moet authenticeren.
Om online Bancontact-betalingen te doen, heb je sowieso een kaartlezer nodig. Dus lijkt die nieuwe regel je misschien vanzelfsprekend. Maar authenticatie was helemaal niet de standaardpraktijk in de kaartindustrie, zeker niet voor online betalingen met Visa of Mastercard. Die betalingen werden meestal gewoon goedgekeurd als er voldoende geld op de rekening stond, zonder te checken wie de transactie deed. Nadat de regel van kracht ging en de NBB een migratieplan voor de sector goedkeurde, duurde het toch zo’n twee jaar voordat SCA werkte bij alle bedrijven die gebruikmaken van kaartbetalingen. Er waren namelijk heel veel partijen bij betrokken, van betalingsverwerkers zoals Worldline die werken voor handelaren, tot uitgevers van betaalkaarten zoals de bank die je jouw creditcard geeft.
Vandaag zijn we eindelijk waar we moeten zijn! Je zal het misschien al gemerkt hebben bij een online betaling in een app of op een website: soms moet je extra identificatie-elementen verstrekken (bijvoorbeeld jouw pincode, Face ID of Touch ID of zelfs een kaartlezer-code). Dat is een gevolg van SCA en heeft ervoor gezorgd dat fraude met betaalkaarten een pak is verminderd.
Authenticatie was helemaal niet de standaardpraktijk in de kaartindustrie, zeker niet voor online betalingen met Visa of Mastercard.
Wat is Open Bankieren?
PSD2 maakt het voor consumenten mogelijk om gebruik te maken van apps waarmee je bijvoorbeeld je rekeningen bij verschillende banken kan bundelen (de meeste Belgische banken bieden dat nu aan) of betalingen kan initiëren (denk aan PayPal of Payconiq). Er zijn twee soorten dienstverleners die dergelijke apps aanbieden: rekeninginformatiedienstverleners en betalingsinitiatiedienstverleners. Wat doen ze?
- Een rekeninginformatiedienstverlener (Account Information Service Provider of AISP in het Engels) is een bedrijf dat toegang krijgt tot jouw betaalrekeningen en je een overzicht kan geven van al jouw betalingen. Daarmee kunnen ze je helpen met de boekhouding en belastingaangifte, maar hebben ze wel toegang nodig tot je rekening om zo al jouw betalingen ‘live’ te kunnen volgen. Ze krijgen die toegang alleen als ze jouw toestemming hebben én een vergunning hebben van de Nationale Bank of de bevoegde autoriteit van een ander EU-land.
- Een betalingsinitiatiedienstverlener (Payment Initiation Service Provider of PISP in het Engels) is een bedrijf dat namens jou een overschrijving rechtstreeks van jouw rekening naar een begunstigde stuurt. Dat kan een handelaar of een vriend zijn. Payconiq-betalingen zijn bijvoorbeeld overschrijvingen waarmee je een vriend of jouw arts kan betalen. Uiteraard is ook hier jouw toestemming en een vergunning van de NBB of een andere EU-autoriteit nodig.
Een AISP kan je een globaal overzicht geven van al jouw betalingen; een PISP kan namens jou een overschrijving rechtstreeks van jouw rekening naar een begunstigde sturen.
Om ervoor te zorgen dat deze AISP’s en PISP’s deze diensten aan jou kunnen leveren, verplicht PSD2 de banken ertoe hun IT-infrastructuur aan te passen. Banken mogen bovendien geen obstakels creëren voor klanten, bijvoorbeeld door je te vragen jezelf meer dan één keer te authenticeren. Deze regel zorgt voor een optimale balans tussen gebruiksvriendelijkheid én veiligheid van deze nieuwe betalingen.
Er is een lange weg afgelegd om ervoor te zorgen dat alle Belgische banken de juiste IT-ondersteuning bieden en geen obstakels opwerpen. Dat had onder meer te maken met de complexiteit van de IT-systemen van onze banken, nodige verduidelijkingen over het wettelijk kader en de timing waarbinnen banken veranderingen konden en wilden doorvoeren. De NBB is in dit verhaal de sector proactief tegemoetgekomen om zo de slaagkans van de nieuwe diensten te maximaliseren en de veiligheid steeds te garanderen. Meer details daarover kan je lezen in onze FMI-rapporten sinds 2019.
Is daarmee het eindpunt bereikt? Zeker niet, er komen in de nabije toekomst nog heel wat nieuwe uitdagingen op ons af. Denk maar aan de steeds populairdere instantbetalingen, waarmee geld meteen op de rekening van de begunstigde staat, technologische vooruitgang in de wereld van het internet of things en het verder bouwen op de principes van Open Bankieren naar Open Finance. Betalingen zijn in ieder geval een wereld vol verandering, op de voet gevolgd door de NBB.
Wie weet hoe je de najaartrends van 2032 online zal betalen…
