PSD2-vergunning voor betaalproviders: wat betekent dit voor je webshop?

PSD2 in één minuut: waarom het je webshop raakt

PSD2 is de herziene Europese richtlijn voor betaaldiensten. De richtlijn trad begin 2016 in werking; EU-lidstaten moesten de verplichtingen uiterlijk begin 2018 in nationale wetgeving opnemen. Nederland heeft PSD2 geïmplementeerd in de Wet op het financieel toezicht (Wft), de bijbehorende gedelegeerde regelgeving en het Burgerlijk Wetboek. De richtlijn kent vier doelen: een beter geïntegreerde en efficiëntere Europese betaalmarkt, meer concurrentie tussen betaaldienstaanbieders door nieuwe partijen toe te laten, veiliger en betrouwbaarder betaaltransacties, en betere bescherming van consumenten en bedrijven.

Voor je webshop betekent dit vier concrete zaken. Klanten kunnen zelf bedrijven toegang geven tot hun betaalrekening; voorheen had alleen hun eigen bank die toegang. Naast iDEAL, creditcard en PayPal komen er nieuwe betaalmethoden, en tweestapsverificatie wordt in veel gevallen verplicht. Tot slot mogen bedrijven bij een creditcardbetaling geen extra kosten meer rekenen.

Belangrijke momenten in de implementatie van PSD2 in Nederland

Heb je zelf een PSD2-vergunning nodig?

Het onderscheid is meestal simpel: een webshop die in de checkout een bestaande betaalprovider gebruikt, heeft doorgaans niet zelf de PSD2-vergunning; die zit bij de provider. De vergunningplicht geldt voor partijen die zelf online betaaldiensten verlenen of producten of diensten aanbieden waarvoor zij toegang of inzage nodig hebben in betaalrekeningen van klanten. Ondernemersplein noemt een digitaal huishoudboekje als voorbeeld.

In Nederland vraag je zo'n vergunning aan bij De Nederlandsche Bank, of bij een andere toezichthouder uit de Europese Unie. Financiële diensten vallen onder de Wet op het financieel toezicht (Wft); afhankelijk van je activiteiten heb je een vergunning of registratie nodig bij DNB of de Autoriteit Financiële Markten. Voor betaalinstellingen geldt een aparte vergunningcategorie, naast onder meer kredietinstellingen, beleggingsinstellingen, verzekeraars en cryptobedrijven. Twijfel je of je activiteit vergunningplichtig is, dan kun je een idee voor een nieuw financieel product voorleggen aan de InnovationHub, een initiatief van AFM en DNB.

Wat merkt de klant in je checkout?

Sterke klantauthenticatie (SCA) is in de praktijk tweefactorauthenticatie: de betaler identificeert zich met twee verschillende factoren, bijvoorbeeld een unieke persoonlijke smartphone en een vingerafdruk. Tweestapsverificatie maakt online betalen veiliger en wordt in veel gevallen verplicht. Reken dus op een extra stap in je afrekenproces en test die flow met je betaalprovider.

Bedrijven mogen online nieuwe betaalmethoden aanbieden die vergelijkbaar zijn met iDEAL-, creditcard- of PayPalbetalingen. Dat is vooral relevant voor klanten zonder creditcard of PayPalrekening, of als de bank van de webwinkel niet bij iDEAL is aangesloten. Bij een creditcardbetaling mogen bedrijven geen extra kosten meer rekenen; dit geldt voor bijna alle creditcards.

Klanten bepalen altijd zelf of ze een bedrijf toestemming geven voor toegang tot hun betaalrekening; zonder die toestemming is er geen toegang. Betaalproviders bundelen meerdere methoden in één kassa. Klarna Checkout combineert in Nederland iDEAL, creditcards, eenmalige machtiging, online overschrijving en achteraf betalen; PayPal wordt apart en extern geactiveerd. Jasper Scheffer van Klarna zei daar in 2018 over dat een betaalmethode wordt ingebouwd zodra de tractie boven de 5 procent uitkomt.

Betaalmethoden in Nederland na PSD2: overzicht

Betaalgegevens, toestemming en privacy

Alleen bedrijven met een vergunning mogen zo'n nieuwe betaal- of rekeningdienst aanbieden; derde partijen moeten veilig met betaalgegevens omgaan. Aanbieders van nieuwe betaaldiensten moeten zich houden aan de Algemene verordening gegevensbescherming (AVG). De Autoriteit Persoonsgegevens controleert dit en kan bij overtreding hoge boetes opleggen.

Voor jouw webshop betekent dit dat je per partij in de checkout vaststelt welke gegevens nodig zijn, welke gegevens de betaalprovider of andere derde partij ontvangt en hoe lang die bewaard blijven. Alleen vergunninghouders horen toegang te krijgen tot betaalgegevens. Leg schriftelijk vast met wie je gegevens deelt, controleer de privacyverklaring van je provider en beoordeel of je niet meer gegevens doorgeeft dan voor de transactie nodig is.

Let op als je betalingen zelf faciliteert

De vergunningplicht speelt eerder bij marktplaatsen, platforms en webshops die zelf transacties tussen kopers en verkopers verwerken of toegang tot betaalrekeningen regelen. Berichtgeving wijst erop dat PSD2 in Europa een struikelblok kan zijn voor marktplaatsen, omdat de regelgeving vereist dat zij een vergunning hebben.

Maak daarom onderscheid tussen technologie leveren en een betaaldienst verlenen. Bouw je alleen een checkout of koppel je een bestaande provider, dan is dat iets anders dan zelf geld van kopers ontvangen, gelden aanhouden of toegang tot betaalrekeningen regelen. Toets: verleen je zelf online betaaldiensten of bied je iets aan waarvoor je toegang of inzage in andermans betaalrekening nodig hebt? Zo ja, laat dan nagaan of je een PSD2-vergunning moet aanvragen.

Wat komt eraan: PSD3, PSR en snellere checkouts

Op 28 juni 2023 deed de Europese Commissie voorstellen voor een herziening van PSD2: PSD3 en PSR (Payment Services Regulation). Ook kwamen er voorstellen voor een breder kader voor Open Finance. De Commissie splitste PSD2 daarbij op in twee onderdelen: PSD3 en PSR. Het kabinet stelde in 2023 het Nederlandse standpunt vast voor PSD3 en PSR en voor het bredere kader van Open Finance; de onderhandelingen hierover in de Europese Raad lopen nog. Er is dus nog niets definitief.

De aanleiding voor de herziening is de evaluatie die de Europese Commissie in 2022 startte: een externe studie, een rapport van de Europese Bankenautoriteit (EBA) en een publieke consultatie. De belangrijkste bevindingen: consumenten lopen risico op online fraude en verliezen vertrouwen in online betalen, het open-bankingraamwerk functioneert onvoldoende, EU-toezichthouders hebben inconsistente bevoegdheden en er is een ongelijk speelveld tussen banken en niet-bancaire betaaldienstverleners.

Los daarvan verandert iDEAL zelf. Consumenten kunnen vanaf april 2024 een iDEAL-profiel aanmaken met bijvoorbeeld adresgegevens, bezorgopties en een voorkeursbankrekening, te gebruiken bij de optie 'Snel Betalen'. Currence kondigde de profielen in maart 2023 aan; ze werden later uitgesteld en blijven optioneel. In de nieuwe iDEAL-versie hoeft de klant niet meer naar de site of app van de bank te navigeren om een bestelling af te ronden. Webwinkels kunnen de profielen in hun bestelsysteem integreren via hun bank, betaalprovider of websitemaker. iDEAL werd op dat moment in meer dan driehonderdduizend webwinkels gebruikt.

Statistieken over gebruik van iDEAL en PSD2 in Nederland

Checklist voor webshopeigenaren

Controleer of je betaalprovider een PSD2-vergunning heeft. In Nederland wordt die aangevraagd bij DNB; een andere EU-toezichthouder kan ook de vergunninghouder zijn. Vraag het na bij je provider in plaats van ervan uit te gaan.

Test of sterke klantauthenticatie goed in je checkout is ingebouwd, zodat de klant zich met twee verschillende factoren identificeert en de betaling niet afbreekt.

Breng in kaart welke partijen in je betaalketen welke gegevens ontvangen en deel alleen wat noodzakelijk is. Aanbieders moeten zich aan de AVG houden; de AP ziet daarop toe en kan hoge boetes opleggen.

Reken geen toeslag bij creditcardbetalingen. Dat mag voor bijna alle creditcards niet meer.

Volg DNB en de Autoriteit Persoonsgegevens voor wijzigingen, en houd de onderhandelingen over PSD3 en PSR in de Europese Raad in de gaten. Verwerk je zelf transacties tussen kopers en verkopers of regel je toegang tot betaalrekeningen, laat dan toetsen of je zelf vergunningplichtig bent.

Checklist voor webshopeigenaren: PSD2-compliance