Betaalrichtlijn PSD2. Wat kun je ermee?

[Mikky Vrolijk]

bron: KvK

 

Quote

Sinds 19 februari 2019 is de Payment Service Directive 2 (PSD2) van kracht. PSD2 is een vernieuwde Europese richtlijn voor betaaldiensten. Door deze nieuwe richtlijn kunnen houders van een betaalrekening ook andere dienstverleners dan de eigen bank toegang geven tot de betaalrekeningen. Een rekeninghouder beslist zelf of hij hiervoor toestemming geeft.

 

Hoe gaat dit in zijn werk, wat kun en moet je er mee als ondernemer?

Meer informatie hierover vind je op deze pagina (incl. doorlinks naar meer informatie over PSD2-bankieren en informatie van De Nederlandse Bank -DNB).

 

 

[FredJansen]

Ik zit er nog niet zo heel erg in, dat geef ik toe.

En innovatie (zo noem ik het maar even) is in principe natuurlijk een goede zaak.

Maar ik lees zo snel toch wel even wat dingen waar mijn wenkbrauwen van gaan fronsen:

 

• Als u een betaling doet aan iemand die zijn betaalgegevens met een derde partij deelt, dan worden ook de gegevens van uw betaling aan die persoon gedeeld.

 

• PSD2 sluit niet uit dat derde partijen mogen weigeren diensten aan een individu aan te bieden.

 

Hoe denkt "men" er zoal over?

[R.I.P. - Benm]

Ik zie er niet direct een meerwaarde van in, en denk ook niet dat ik het ga gebruiken. 

 

Maar het netelige zit hem er vooral in dan mensen betaalgegevens delen waar complete buitenstaanders geen notie van hebben. Stel dat ik iemand 1000 euro geeft, en die persoon besteed dat naar zijn wens in een webwinkel, dan kan de webwinkel ook zien dat ik die 1000 euro gegeven hebt... terwijl ik helemaal niets met die webwinkel te maken heb. Het lijkt mij een riskante manier van data uitdelen. 

 

Ik weet niet precies hoeveel informatie je hiermee krijgt, maar ergens vrees ik misbruik. Als je bijvoorbeeld kunt zien wat iemands banksaldo is dan is het vrij eenvoudig misbruik te maken van dat gegeven: ook al doe je het niet zelf, ik vermoed dat dergelijke informatie voor scammers extreem waardevol is, zeker als je er ook nog NAW gegevens en dergelijke bij krijgt. Iemand met een saldo van een ton en een adres in een bejaardenhuis? Ga je geld maar zoeken, in nigeria ofzo ;)

[herman van der helm]

Mijn betaalgegevens zijn mijn persoonlijke gegevens. Ik denk dat ik maar eens de AVG ga inzetten als het zich aandient.

[Maxn]

Vind het jammer dat je de rekeninggegevens alleen met bedrijven die onder toezicht van DNB staan kan delen.

 

Zou graag willen dat mijn eigen webshop software de transacties van mijn eigen zakelijke bankrekening rechtstreeks bij mijn bank kon opvragen.

Zodat als een klant met een handmatige bankoverschrijving betaald, ik dat makkelijker in mijn administratie kan verwerken.

 

Maar nee, dat is bij de meeste banken nog steeds niet mogelijk.

Dan blijft het moeilijk doen met CSV bestandjes, of verplicht je gegevens eerst delen met een tussenpartij die vervolgens wel een API aanbied waarmee je de transactiegegevens kan ophalen.

[R.I.P. - Benm]

Daarvoor zou een bank best een API kunnen leveren, als ze dat willen. Hier is geen PSD2 voor nodig, dit is informatie die je nu ook al kunt zien, het is hooguit omslachtig. 

 

De vraag is echter hoeveel meer je met PSD2 kunt zien. Naar mijn idee kun je dus ook andere transacties van de betaler met derden zien, of niet?

 

Dat laatste steekt een beetje gezien die derden daar nooit toestemming voor hebben gegeven. 

 

Nu zie ik niet echt in wat PSD2 voor voordeel heeft voor de consument, dus ik vraag me af hoeveel mensen dit gaan inschakelen. 

[Maxn]

 

Quote

 

Daarvoor zou een bank best een API kunnen leveren, als ze dat willen. Hier is geen PSD2 voor nodig, dit is informatie die je nu ook al kunt zien, het is hooguit omslachtig. 

 

De vraag is echter hoeveel meer je met PSD2 kunt zien. Naar mijn idee kun je dus ook andere transacties van de betaler met derden zien, of niet?

 

Het idee is dat je online dienstverleners -zoals een online boekhoudpakket of een online huishoudboekje-  toestemming kan geven jouw transacties te mogen inzien.

Vergelijkbaar met de online boekhoudpakket koppelingen die sommige banken nu ook al hebben, maar dan wel gestandardizeerd, en dus niet langer afhankelijk van of jouw bank wel kan samenwerken met de leverancier van jouw online boekhoudpakket.

 

 

Er is alleen wel de regel dat -naast dat je als rekeninghouder toestemming moet geven- alleen dienstverleners die goedgekeurd zijn door de DNB (of een soortgelijke instantie uit een ander EU land), een dergelijke koppeling met de bank mogen opzetten.

De bank wordt door PSD2 dus verplicht een hele mooie gestandardiseerde API voor het opvragen van rekeninginformatie beschikbaar te stellen.

Alleen PSD2 schrijft voor dat nog steeds niet iedereen die API mag gebruiken.

 

Bank <-> mijn eigen webwinkel software die draait op mijn eigen server

mag dus niet. Want ik ben zelf nu eenmaal niet DNB approved...

 

Maar:

 

Bank <-> online boekhoudpakket <-> Mijn eigen webwinkel software

is niet verboden.

 

Op die tussenschakel zit ik echter niet zo te wachten.

En heb niet het idee dat het veiligheid toevoegt, integendeel...

[R.I.P. - Benm]

Dat lijkt me inderdaad een averechts effect: je krijgt tussenschakels die toegang krijgen tot allerlei data waar ze eigenlijk helemaal niets mee behoren te doen. 

 

Als zulke tussenpartijen groot worden wordt die data echter wel waardevol: zij kunnen zien of klanten van winkel x ook bij winkel y shoppen, en die klanten nog indentificeren ook. Prima verkoopbare data, maar winkels x en y worden hier niets beter van, laat staan hun klanten die de volgende lading marketing over zich geen krijgen omdat winkel z zo ongeveer hetzelfde verkoopt als x en y, en die klantprofielen kan kopen van de tussenpartij. 

[Cosara]

Over het verzamelen van data en privacy gesproken ...

 

"Ik geef geen toestemming voor toegang tot mijn betaalrekening. Kunnen derden dan wel een overboeking van mij aan anderen zien?

 

Ja, dat kan. Stel, u boekt geld over naar iemand anders. En degene naar wie u geld overboekt heeft een bedrijf of instelling wél toestemming gegeven voor het bekijken van zijn bij- en afschrijvingen. Dan is deze overboeking bij dat bedrijf of die instelling straks zichtbaar als binnenkomende betaling. Daarbij worden uw naam, uw rekeningnummer, de omschrijving en het door u overgeboekte bedrag getoond."

 

... contante betalingen geven nog steeds de beste bescherming.

[R.I.P. - Benm]

Zo onderhand wel. Dat derden zonder mijn toestemming mijn bankgegevens in handen krijgen vind ik niet heel prettig. 

 

Contant betalen is ook een lastige: ik betaal veel (vaste) lasten met automatische incasso, en ik denk dat dat voor veel mensen geldt. Die overboekingen kunnen straks dus bekeken worden als pakweg mijn energieleverancier PSD2 koppeling maakt met een derde partij. Hoe wou je dat contant oplossen? Je kunt natuurlijk die incasso stoppen en facturen ontvangen, maar hoe wou je die betalen? Cash op  het hoofdkantoor van Eneco?

[Maxn]

30 minuten geleden, R.I.P. - Benm zei:

Contant betalen is ook een lastige: ik betaal veel (vaste) lasten met automatische incasso, en ik denk dat dat voor veel mensen geldt. Die overboekingen kunnen straks dus bekeken worden als pakweg mijn energieleverancier PSD2 koppeling maakt met een derde partij. Hoe wou je dat contant oplossen? Je kunt natuurlijk die incasso stoppen en facturen ontvangen, maar hoe wou je die betalen? Cash op  het hoofdkantoor van Eneco?

 

Maar goed, de overboekingen die de derde partij te zien krijgt, zijn enkel de transacties tussen jou en je energieleverancier.

Bedenk wel dat als de derde partij daadwerkelijk een online boekhoudpakket is dat door je energieleverancier actief gebruikt wordt, jouw gegevens daar toch al in staan, want je NAW gegevens en hoeveel stroom je gebruikt zal ook wel in de boekhouding en op facturen staan.

Zelfs als je contant zou betalen (bij een GWK kantoor ofzo), heeft de leverancier van het online boekhoud pakket je gegevens dan al.

 

Het enige nieuwe gevaar is dus dat er tussenpartijen gebruikt gaan worden die voorheen niet gebruikt zouden worden.

Dus als het energiebedrijf voorheen helemaal geen fan van online boekhouden was, maar de administratie op eigen systemen verwerkte.

Maar nu wel een dergelijke tussenpartij moet gaan gebruiken omdat ze anders de transactie gegevens niet makkelijk kunnen uitlezen.

 

20 april 2019 aangepast door Maxn

[R.I.P. - Benm]

Het vervelende is denk ik dat zo'n tussenpartij voor meerdere bedrijven werkt, bijvoorbeeld zowel voor pakweg mijn energieleverancier als mijn verzekeraar. Misschien ook nog wel voor een aantal winkels waar ik met ideal betaal? Zo ontstaat wel een heel aardig setje data over een persoon, inclusief NAW. Die derde partij zal dat niet zomaar mogen verkopen, maar je kunt niets anders dan erop vertrouwen dat ze dat ook echt niet doen. Bovendien weet ik niet eens wie de derde partij is die inzage heeft in de bankgegevens van een leverancier waar ik aan betaal. 

[Markilanosz]

Is dit hele PSD2 niet gewoon vastleggen van iets dat al heel lang gebruikelijk is bij online winkelen? En klant koopt op een webshop iets. Betaald bij een 3de partij, de zogenaamde payment provider, en die deelt die gegevens met de webshop. De payment provider zorgt voor een veilige transactie en voorkomt dat iedere webshop voor zich allerlei betaal mogelijkheden moet faciliteren en daar de veiligheid van moet waarborgen. 

[Cosara]

16 uur geleden, R.I.P. - Benm zei:

Contant betalen is ook een lastige: ik betaal veel (vaste) lasten met automatische incasso, en ik denk dat dat voor veel mensen geldt.

Hoe wou je dat contant oplossen?

Cash op  het hoofdkantoor van Eneco?

Waarom niet ?

 

Waarschuwing voor alle gemeenten: 'Je moet met contant geld kunnen betalen'

 

Alle 380 gemeenten krijgen een brief met een duidelijke boodschap: burgers moeten aan de balie van gemeentehuizen met contant geld kunnen blijven betalen. Volgens het Europees recht is alleen pinnen niet toegestaan. Dat betekent dat het groeiend aantal gemeenten dat alleen een pin only-beleid heeft, een oplossing zal moeten gaan zoeken.

[Maxn]

5 uur geleden, Markilanosz zei:

Is dit hele PSD2 niet gewoon vastleggen van iets dat al heel lang gebruikelijk is bij online winkelen? En klant koopt op een webshop iets. Betaald bij een 3de partij, de zogenaamde payment provider, en die deelt die gegevens met de webshop.

 

Nee, het deel van PSD2 waar we het momenteel over hebben is rekeninginformatiediensten

 

Dat zijn o.a. online boekhoudpakket koppelingen met partijen als Exact, Moneybird, Informer, Snelstart en Twinfield.

En koppelingen met online huishoud boekjes zoals Afas Personal.

 

Voor de technische onderlegden: als je wilt zien welke gegevens er worden overgezonden, de gebruikte APIs staan ook gewoon netjes gedocumenteerd op de sites van de diverse banken.

Bijv. ING: https://developer.ing.com/api-marketplace/marketplace/b6d5093d-626e-41e9-b9e8-ff287bbe2c07/reference#endpoint__3

ABN: https://developer.abnamro.com/content/account-information

 

Daar is weinig spannends aan. Authenticatie verloopt via oauth, en vervolgens kan de partij aangeven vanaf welke datum tot welke datum ze de transactie gegevens willen hebben, en krijgt dan in json formaat alle transacties die binnen die periode gedaan zijn terug.

Maar je mag dus alleen RECHTSTREEKS gebruik van die API maken als je een vergunning van DNB hebt.

 

==

 

Overigens introduceert PSD2 wel ook nog andere regels, die wel betrekking hebben op payment providers.

Zo is het bij credit card betalingen dadelijk niet voldoende dat je alleen de gegevens van de credit card verzamelt, maar wordt het gebruik van strong customer authentication zoals 3D secure verplicht.

Mocht je huidige implementatie dat nu nog niet doen (bijv. als je Stripe gebruikt), dan kan het zijn dat je daar als webshop eigenaar nog wat aanpassingen voor moet doen.

[Jasper S.]

Ik denk dat het aantal spaarrekeningen enorm zal gaan toenemen.
Zodat in ieder geval je saldo verborgen blijft.
 

Ik denk ook dat het niet lang zal duren voordat partijen als facebook en google de koppeling verplicht gaan maken. Al is het onder het mom van id checken.

Hoe handig is het om te adverteren als je het budget van je bezoeker al weet.

[R.I.P. - Benm]

Zou er ook saldo informatie van de betaler bij zitten? Dat lijkt me toch helemaal niet relevant, als ik nu een overboeking doe neem ik aan dat de ontvanger daarvan niet kan zien wat het saldo van mijn betaalrekening is, dat is tenslotte volstrekt irrelevante informatie. 

 

Maar voor de transacties etc is het denk ik wachten op het nieuws dat er een enorm datalek blijkt te bestaan en de bankgegevens van een paar miljoen mensen ergens online te koop worden aangeboden... het vergt meestal een flink schandaal om een slecht idee te keren. 

[Jasper S.]

Meestal zijn de schandalen maar heel even in het nieuws, is iedereen het zo vergeten en gaat men daarna gewoon op de oude voet verder.

De meeste platforms zijn gewoon nog in de lucht en is er weinig veranderd op het gebied van veiligheid.
https://informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/

[R.I.P. - Benm]

Het hangt ook wel een beetje van de gevolgen af, niet alleen van de aantallen.

 

Je kan een data breach hebben waarbij pakweg email adressen en gesalte, gehashde wachtwoorden zijn buitgemaakt. Buitengewoon vervelend, maar met die gegevens kun je als kwaadwillende vrijwel niets. Maar als het een bestand is met NAW gegevens, bankrekeningnummers en dergelijke die onversleuteld op straat terecht komen zijn de rapen natuurlijk wel gaar:

 

Als je bijvoorbeeld weet dat iemand per automatische incasso iedere maand zijn stroomrekening betaald en vanaf welk rekeningnummer dan is het wel -heel- gemakkelijk een phishing campagne op te zetten. Stuur ze een mail of zelfs een papieren brief waarin je stelt dat er door een technische storing deze maand geen incasso mogelijk was, met het verzoek dat bedrag (dat je ook exact weet) zelf over te maken naar een rekeningnummer van een katvanger. 

 

Als je daar een echt goed verhaal van maakt trapt wellicht 1% van de ontvangers daar in. Als het bedrag in de orde van 100 euro is en je een miljoen mensen op die manier kunt tillen heb je direct een miljoen euro binnen... en je hebt alle gegevens nog om diezelfde scam nog een paar keer uit te proberen. 

[Jasper S.]

Ik begrijp je standpunt helemaal, ben het ook wel met je eens.
Alleen je rekensom klopt niet helemaal, als 1%,  1 miljoen slachtoffers is, dan zou je een bedrijf moeten vertegenwoordigen van 100 miljoen klanten.
en 100 euro x 1 miljoen slachtoffers is iets meer dan 1 miljoen winst.

23 april 2019 aangepast door Jasper S.

[R.I.P. - Benm]

Als je begin met 1 miljoen scam brieven/mails en 1% trapt erin, heb je 10.000 gedupeerden. Als dat voor 100 euro per neus is, heb je een miljoen euro.