PSD2, wat is het?

PSD2 is de opvolger van de Payment Services Directive van 2007. Dit is de Europese reglementering voor betalingsdiensten. Met betalingsdiensten worden onder meer klassieke diensten bedoeld zoals doorlopende betalingsopdrachten, overschrijvingen, betalingen met een kaart, of de diensten verbonden aan het beheer van een betaalrekening. Onder PSD2 worden bijkomend ook nieuwe diensten geregeld, meer bepaald de betalingsinitiatiediensten en de rekeninginformatiediensten.

De betaalrekening wordt gedefinieerd als de rekening die voor de uitvoering van betalingstransacties wordt gebruikt. Dit is een zeer brede definitie waardoor verschillende type rekeningen mogelijks onder deze definitie kunnen vallen vanaf het ogenblik dat ze voor betalingstransacties worden gebruikt. Voor Crelan is het normaal de zichtrekening.

PSD2 is verder uitgewerkt in technische normen voor banken en andere bedrijven die betalingsdiensten aanbieden.

PSD2 regelt:

• de rechten en plichten van alle partijen betrokken bij betaalverrichtingen (consumenten, bedrijven, banken, andere betalingsinstellingen);
• de voorwaarden rond betalingstransacties;
• de informatie die de gebruiker daarover moet krijgen;
• de voorwaarden om als betalingsinstelling te mogen optreden.

PSD2 heeft vijf doelstellingen:

1. De concurrentie in de Europese betaalmarkt bevorderen
2. Innovaties in het betalingsverkeer beter mogelijk maken
3. De betaler beter beschermen
4. De veiligheid van betalingen vergroten
5. Bijdragen aan één Europese betaalmarkt

PSD2 creëert nieuwe mogelijkheden voor (nieuwe) bedrijven die kunnen besluiten om een vergunning aan te vragen als betalingsinitiatiedienstverlener of rekeninginformatiedienstverlener. Tegelijkertijd worden banken gestimuleerd om actief samen te werken met derde partijen.

Zo kunnen de nieuwe partijen als zij de vergunning hebben verkregen betaalapplicaties vrij eenvoudig in hun aanbod van mobiele diensten integreren. Zij kunnen ook alternatieven voor debet- of kredietkaartbetalingen aan de kassa ontwikkelen. PSD2 biedt namelijk de mogelijkheid om online het saldo van de klant te checken mits instemming van de klant.

Omgekeerd kunnen banken de expertise en de applicaties van innovatieve partijen gebruiken om nieuwe diensten aan te bieden of in hun bestaande diensten integreren. PSD2 zal leiden tot nieuwe vormen van digitale dienstverlening door banken en derde partijen.

PSD2 is bedoeld voor vrijwel iedereen: consumenten, bedrijven, banken en betalingsinstellingen.

PSD2 is vooral van toepassing op betalingstransacties langs girale weg. Betalingstransacties die uitsluitend in contanten, rechtstreeks door de betaler aan de begunstigde worden verricht, zonder enige tussenkomst, worden uitgesloten.

Met PSD2 komen er aanbieders van nieuwe betalings- en rekeninginformatiediensten op de markt. Zij komen online tussen de rekeninghouder en de bank, als een derde partij. Dit kan bijvoorbeeld een andere bank of een fintechbedrijf zijn. Al deze partijen dienen een vergunning te hebben van de Nationale Bank van België (NBB) of van een andere toezichthouder uit de Europese Economische Unie. PSD2 regelt het toezicht op deze derde partijen. Indien een klant gebruik wenst te maken van deze nieuwe diensten, zal hij een derde partij toegang moeten verlenen tot zijn betaalrekening(en).

Indien de klant hiervoor toestemming geeft, kan deze derde partij (dit kan ook een andere bank zijn):

• in naam van de klant het saldo en een (beperkte) rekeninghistoriek opvragen van zijn betaalrekening(en) bij Crelan en deze ter beschikking stellen via hun eigen online/mobiele kanalen,
• een betaling initiëren op zijn betaalrekening.

De klant is niet verplicht om toestemming te geven. Als hij geen toestemming geeft, verandert er niets.

Ook de handelaar krijgt met PSD2 te maken. Naast de reeds bestaande methoden voor elektronisch betalen in de winkel en online (Bancontact, Maestro, Visa, Payconiq,…) zullen er nieuwe mogelijkheden worden aangeboden. Zijn klanten kunnen naar deze nieuwe betaalmethoden vragen. De handelaar heeft meer keuze tussen (aanbieders van) betaalmethoden en bepaalt zelf welke betaalmethoden hij aanbiedt in functie van de vraag van zijn klanten.

De handelaar mag voortaan ook geen extra kosten meer aanrekenen aan klanten voor het gebruik van eender welk betaalinstrument, en dit zowel online als in de winkel. Dit is in elk geval de keuze die in België gemaakt werd bij de omzetting van de Europese richtlijn die dergelijke keuze mogelijk maakt.

PSD2 bepaalt dat de toegang tot de rekening op een beveiligde manier moet gebeuren. Zo schrijft PSD2 voor dat een nieuwe betaalinstelling een vergunning moet hebben van de NBB of van een andere toezichthouder uit een ander land in de Europese Unie. Ook beschrijft zij aan welke toezichteisen de instelling moet voldoen, onder meer op het gebied van gegevensbescherming. Daarnaast definieert PSD2 een aantal technische normen. Deze normen gaan nog verder in op de beveiliging van transacties en de (technische) communicatie tussen de bank en derde partijen.

PSD2 regelt zowel betalingsinitiatie- als rekeninginformatiediensten. Beide zijn gebaseerd op de toegang tot de betaalrekening, mits de rekeninghouder daarvoor toestemming geeft.

Bij betalingsinitiatiedienstverlening geeft een derde partij, de bank opdracht om namens de klant een betaling (overschrijving) te starten.

Bij rekeninginformatiedienstverlening biedt een derde partij een overzicht van de betaalrekening(en) van de klant (saldo en beperkte rekeninghistoriek) en toont deze in een online en/of mobiele applicatie.

Beide diensten kunnen worden gecombineerd.

Hiermee wordt bedoeld dat een derde partij mits het verlenen van de toestemming van de klant:

• het saldo en de rekening historiek van de betaalrekening(en) van de klant kan checken,
• de bank opdracht kan geven namens de klant een betaling (overschrijving) te starten of informatie van zijn bankrekening te verzamelen en daarvan een overzicht aan te bieden.

Het is níet zo dat de rekening, het geld dat daarop staat of de informatie over het saldo en de betalingen vrij toegankelijk worden voor iedereen.

Nee. De klant is niet verplicht om aan een derde partij toegang tot zijn betaalrekening(en) te geven. PSD2 geeft hem alleen het recht om dit te doen. Om precies te zijn: PSD2 geeft iedereen het recht gebruik te maken van een nieuw type aanbieder die toegang tot de online rekening krijgt.

Als hij toestemming geeft, krijgt een derde partij toegang tot zijn rekening(en) bij Crelan en/of bij de andere banken. De klant dient zich hiervan bewust te zijn.

Als hij geen toestemming geeft, verandert er niets. De derde partij krijgt geen toegang tot zijn rekening.

Belangrijk is te weten dat de toestemming voor de betalingsinitiatiedienst eenmalig is, tenzij de klant toestemming geeft voor een reeks van terugkerende betalingen aan dezelfde begunstigde.

De toestemming voor de rekeninginformatiedienst is voor een periode van negentig dagen geldig. Gedurende die periode kan de rekeninginformatiedienstverlener steeds de rekening(en) van de klant benaderen en dit tot maximaal 4 keer per dag. Zodoende kan de rekeninginformatiedienstverlener in de loop van de dag het overzicht van de betalingen en ontvangsten actualiseren.

Na negentig dagen wordt opnieuw gevraagd uitdrukkelijke toestemming te geven voor toegang tot de rekening(en).

De klant geeft zijn toestemming aan een betalingsinitiatiedienstverlener op dezelfde manier als bij een online betaalopdracht aan zijn bank. Dus in geval van Crelan betekent dit dat de klant gebruik maakt van de Digipass of van Crelan Sign die een ‘one time password’ genereren dat door de klant moet ingegeven worden. Door deze en andere beveiligingsmaatregelen kan de betaaldienstverlener geen enkele transactie verrichten zonder uitdrukkelijke toestemming van de klant.

Voor een rekeninginformatiedienstverlener is de procedure iets anders aangezien de toestemming geldig is tot negentig dagen nadat de klant rekeninginformatie vroeg en uw identiteit gecontroleerd werd.

Zonder toestemming van de klant krijgen de nieuwe aanbieders geen toegang tot de betaalrekening(en) van de klant. Dan kunnen zij hun diensten ook niet aanbieden. Concreet betekent dit dat de klant op een andere manier moet betalen bvb met de debetkaart, de kredietkaart, via overschrijving, …. Of dat de klant van de nieuwe aanbieder geen overzicht krijgt van zijn rekeningen.

Het onderdeel inzake consumentenbescherming van de PSD2 treedt in België in werking op 09/08/2018. De banken zullen vervolgens 4 maanden de tijd hebben om hun contractuele documentatie bij te werken.

Het onderdeel inzake de technische reguleringsnormen voor sterke cliëntauthenticatie en gemeenschappelijke en veilige open communicatiestandaarden van PSD2 (ook bekend onder de naam RTS regulatory technical standards) werd door de Europese Commissie gepubliceerd op datum van 13/03/18. Banken en andere betalingsdienstverleners hebben vervolgens 18 maanden, dus tot 13/09/2019) om de beveiligingsmaatregelen en communicatie-instrumenten in te voeren en te voorzien in beveiligde communicatiekanalen die worden gebruikt voor het verzenden van rekeninggegevens en het uitvoeren van betalingen. Voor de klanten betekent dit in de praktijk bijvoorbeeld dat zij voor het geven van toestemming tot toegang tot rekeningen in bepaalde gevallen zullen moeten wachten tot na 13/09/2019.