PSD2

De Payment Services Directive 2 (PSD2) is een Europese richtlijn voor de regulering van betaaldiensten en betaaldienstverleners binnen de Europese Unie. PSD2 is van kracht sinds 19 februari 2019.

PSD2 is de opvolger van PSD1, die tot doel had de concurrentie binnen de Europese Economische Ruimte (EER) te vergroten, inclusief niet-bancaire instellingen. PSD2 zet deze trend voort door nieuwe betaaldienstverleners toegang te geven tot bankrekeninggegevens en deze dienstverlening te reguleren.

Wat is PSD2?

PSD2 is een Europese richtlijn. Anders dan verordeningen moeten Europese richtlijnen worden geïmplementeerd in nationale wetgeving. In Nederland is PSD2 geïmplementeerd in de Wet op het financieel toezicht (Wft).

PSD2 stelt derden in staat toegang te krijgen tot de betaalrekeningen van consumenten en bedrijven. Onder derden kunnen partijen vallen die betalingen tussen consumenten en online retailers faciliteren of die een overzicht van je betaalrekeningen bieden.

Met de introductie van PSD2 zijn twee nieuwe betaaldiensten ontstaan:

1. Betaalinitiatiedienst. Deze dienst maakt het bijvoorbeeld mogelijk om tijdens het online winkelen betalingen te initiëren door een onderneming opdracht te geven de betaling namens je uit te voeren.
2. Rekeninginformatiedienst. Deze dienst stelt een onderneming in staat een financieel overzicht samen te stellen, zoals een budgetteringstool, met al je bankrekeningen. Dit kan handig zijn als je rekeningen bij verschillende banken heeft.

Niet-bancaire instellingen die toegang willen tot betaalrekeningen in Nederland, moeten de juiste vergunning verkrijgen. Dienstverleners die toegang willen tot financiële gegevens van bankklanten (Dienst 8; 'rekeninginformatiedienst') of betalingen willen initiëren vanaf rekeningen van bankklanten (Dienst 7; 'betaalinitiatiedienst'), moeten zich registreren bij een relevante toezichthouder binnen de Europese Unie; in Nederland is dat De Nederlandsche Bank (DNB).

Privacy en PSD2

PSD2 verplicht banken onder meer om betaalgegevens (kosteloos) te delen met derden die over de juiste vergunning beschikken. Voor dit delen is toestemming van de consument vereist, waarbij de consument altijd de mogelijkheid houdt om toestemming te weigeren. Deze toestemming bestaat uit twee elementen:

• Enerzijds moet een consument toestemming verlenen aan de derde partij. Met deze toestemming kan de derde partij toegang krijgen tot de betaalrekening of betalingen initiëren.
• Anderzijds moet de gebruiker de derde partij toestemming verlenen voor toegang tot de persoonsgegevens van de gebruiker.

Onder PSD2 mogen derden alleen de persoonsgegevens inzien, verwerken en bewaren die noodzakelijk zijn voor het leveren van de betaaldienst. Hiervoor is uitdrukkelijke toestemming van de consument vereist. Daarnaast is de derde partij verplicht te voldoen aan de eisen van de AVG.

Het verwerken van persoonsgegevens is alleen toegestaan als er een in de AVG genoemde grondslag is. Een van deze grondslagen is toestemming van de consument. Het begrip toestemming onder de AVG verschilt echter van het begrip toestemming onder PSD2.

Wat is een betaalinitiatiedienst

Bij een betaalinitiatiedienst geeft de consument de betaalinitiatiedienstverlener eenmalig toestemming om het geld van zijn betaalrekening af te schrijven. De betaalinitiatiedienstverlener maakt het geld vervolgens over van de betaalrekening van de consument naar de rekening van bijvoorbeeld de webwinkel. Dit is een interessante dienst, vooral in combinatie met instant payments (sinds 2019), waarmee een webwinkel het geld binnen vijf seconden op de rekening kan hebben.

Wat is een rekeninginformatiedienst?

Bij een rekeninginformatiedienst krijgt een derde partij toegang tot de transactiegegevens van de betaalrekening, maar alleen als de consument daar uitdrukkelijk toestemming voor heeft gegeven. Zo zou een hypotheekverstrekker dit kunnen gebruiken om het betaalgedrag te analyseren en een risicoprofiel van de consument op te stellen, wat vervolgens mogelijk kan leiden tot een korting op de hypotheekrente. De rekeninginformatiedienst biedt ook de mogelijkheid om bijvoorbeeld binnen een app verschillende rekeningen van verschillende banken in één overzicht te zien.

Wat is het doel van PSD2?

De Europese Commissie heeft zichzelf tot doel gesteld innovatie te bevorderen. Daarnaast wil de Europese Commissie de concurrentie tussen betaaldienstverleners bevorderen. Sinds de implementatie van PSD1 in 2009 is de betaalmarkt gegroeid en verder geëvolueerd door nieuwe betaalmethoden. Met PSD2 wil de Europese Commissie deze trend stimuleren door ook nieuwe betaaldienstverleners toegang te geven tot bankrekeninggegevens en deze dienstverlening te reguleren.

Wat is de reikwijdte van PSD2?

PSD2 heeft een bredere geografische reikwijdte dan PSD1. Ook de zogenoemde 'one-leg'-transacties vallen binnen de reikwijdte van PSD2. 'One-leg'-transacties zijn betalingen waarbij slechts een van de betrokken betaaldienstverleners binnen de EER is gevestigd (die van de betaler of die van de begunstigde). Bij 'one-leg'-transacties geldt PSD2 alleen voor het deel dat binnen de EU wordt uitgevoerd.

Hoewel 'one-leg'-transacties binnen de reikwijdte van PSD2 vallen, zijn er enkele verschillen ten opzichte van betalingstransacties die volledig binnen de EU plaatsvinden. Het belangrijkste onderscheid is dat de voorgeschreven uitvoeringstermijn D+1, die geldt voor reguliere transacties, niet van toepassing is op 'one-leg'-transacties. Voor 'one-leg'-transacties die binnen de EU worden ontvangen, moeten deze op dezelfde dag worden bijgeschreven, en gelden de valutadatumregels voor zowel het afschrijven (uitgaande one-leg) als het bijschrijven (inkomende one-leg), mits de transactie in euro of een andere EER-valuta plaatsvindt. Ook transacties in andere valuta dan de euro vallen dus binnen de reikwijdte van PSD2.

Ten opzichte van PSD1 beperkt PSD2 ook de vrijstellingen voor beperkte netwerken, geldautomaten, telecomaanbieders en handelsagenten.

Sinds PSD2 is het doorberekenen van kosten voor kaartbetalingen beperkt. Er mogen echter nog steeds kosten in rekening worden gebracht om het gebruik van inefficiënte betaalinstrumenten (zoals de acceptgiro) te ontmoedigen, tenzij dit door lokale wetgeving is verboden. Daarnaast mag een betaaldienstverlener kosten in rekening brengen voor het voortijdig beëindigen van een contract door een betaaldienstgebruiker. In beginsel kan de betaaldienstgebruiker de overeenkomst kosteloos beëindigen, behalve wanneer de overeenkomst korter dan zes maanden van kracht is.

Als derden worden ingeschakeld om een betaalopdracht te plaatsen, ligt de aansprakelijkheid voor een eventuele onjuiste transactie bij deze betaaldienstverleners. In PSD2 is de rol van de derde betaaldienstverlener ('PISP') geformaliseerd. Als deze derde betaaldienstverlener verantwoordelijk is voor de onjuiste uitvoering van de betalingstransactie, dan moet de PISP de rekeninghoudende betaaldienstverlener ('AS PSP') onmiddellijk en volledig compenseren, tenzij de PISP kan aantonen dat de AS PSP de juiste betaalopdracht heeft ontvangen. Zo blijft de consument beschermd tegen gebruikersrisico als hij niet frauduleus of nalatig heeft gehandeld.

Hoe is PSD2 opgebouwd?

PSD2 kent 11 mandaten toe aan de European Banking Authority (EBA). EBA heeft 6 Regulatory Technical Standards (RTS) en 5 richtsnoeren ontwikkeld. Een belangrijk verschil tussen een RTS en een richtsnoer is dat een RTS wordt vastgesteld door de Europese Commissie (EC) na toetsing door het Europees Parlement (EP). Deze wordt vervolgens gepubliceerd als richtlijn of verordening. Een richtsnoer wordt vastgesteld door een Europese toezichthouder. De meeste mandaten zijn bedoeld voor nationale toezichthouders (zoals DNB in Nederland), maar één RTS raakt alle marktpartijen: de RTS over sterke cliëntauthenticatie (SCA) en veilige communicatie.

Wat zijn de belangrijkste verplichtingen van PSD2?

Een betaaldienstverlener moet een integere en beheerste bedrijfsvoering waarborgen. De eisen voor een vergunningaanvraag richten zich vooral op het minimaliseren van beveiligingsrisico's en procedures rond incidentbeheer.

Enkele van de belangrijkste verplichtingen voor betaaldienstverleners zijn:

Ten aanzien van een beheerste bedrijfsvoering:

• procedurebeschrijving voor het monitoren, afhandelen en opvolgen van beveiligingsincidenten;
• business continuity management;
• risicobeheerkader en -analyse voor de beheersing van bedrijfsprocessen en risico's;
• een duidelijke, evenwichtige en adequate organisatiestructuur;
• onafhankelijke compliancefunctie;
• internecontrolefunctie;
• informatiesystemen, infrastructuur en beveiliging;
• authenticatie;
• Uitbesteding;
• zekerstelling van de gelden van betaaldienstgebruikers (derdengeldenrekening of verzekeringspolis);
• transparante eigendomsstructuur;
• twee dagelijks beleidsbepalers die vanuit Nederland werken.

Ten aanzien van een integere bedrijfsvoering:

• systematische integriteitsrisicoanalyse;
• voorkomen van belangenconflicten;
• afhandeling en documentatie van incidenten;
• klachtenprocedure;
• naleving van de AML (Anti-Money Laundering) en de Sanctiewet 1977.

Aanbieders van betaalinitiatie- en/of rekeninginformatiediensten moeten een aansprakelijkheidsverzekering (of een andere vergelijkbare zekerheid) hebben om het risico te dekken als zij aansprakelijk worden gesteld voor schade die is geleden bij een onjuiste, niet-geautoriseerde, niet-uitgevoerde of vertraagde verwerking van een betaalopdracht.

Wie houdt toezicht op PSD2?

In Nederland houdt De Nederlandsche Bank (DNB) toezicht op de naleving van PSD2. Ondernemingen die betaalinitiatie- of rekeninginformatiediensten aanbieden, moeten een vergunning van de toezichthouder hebben. De bank van de rekeninghouder controleert vooraf of de vergunning aanwezig is.

Overzicht regelgevingskader PSD2

Hierbij een overzicht van het regelgevingskader van PSD2.

Meer weten?

Projective Group brengt uitgebreide ervaring binnen de financiële sector mee, onder meer bij betaalinstellingen. Wij helpen je graag bij de naleving van PSD2, AML-regelgeving (Anti-Money Laundering) en andere relevante wetgeving. Wil je meer weten over onze dienstverlening? Neem gerust contact met ons op voor meer informatie.