PSD2 en Open Banking in België: wat er verandert voor particulieren

Sinds de inwerkingtreding van de Europese richtlijn inzake betaaldiensten, bekend als PSD2, heeft het Belgische banklandschap zich opengesteld voor nieuwe spelers. Toepassingen voor accountaggregatie, betalingen die rechtstreeks vanaf een webwinkel worden geactiveerd, codes die bij elke verbinding via smartphone worden ontvangen: al deze ontwikkelingen vloeien voort uit hetzelfde regelgevingskader. Dit is wat het concreet betekent voor een particulier in België.

PSD2 en Open Banking: waar hebben we het over?

De PSD2-richtlijn in het kort

Richtlijn (EU) 2015/2366, aangenomen op 25 november 2015, wordt algemeen PSD2 (Payment Services Directive 2) genoemd. Ze vervangt de eerste richtlijn inzake betaaldiensten uit 2007 en is sinds 13 januari 2018 van toepassing in de hele Europese Economische Ruimte.

De gestelde doelen zijn drieledig: de veiligheid van betalingen versterken, de concurrentie stimuleren door de markt open te stellen voor niet-bancaire dienstverleners, en de bescherming van gebruikers verbeteren. Een aanvullende gedelegeerde verordening, Verordening (EU) 2018/389, specificeert de technische regels voor authenticatie en veilige communicatie; de bepalingen inzake sterke authenticatie zijn van toepassing geworden op 14 september 2019.

Open Banking eenvoudig uitgelegd

Open Banking verwijst naar het principe waarbij een rekeninghouder een externe dienstverlener kan machtigen om toegang te krijgen tot zijn bankgegevens of om namens hem een betaling te initiëren. De bank is niet langer het enige toegangspunt tot de rekening: zij moet technische interfaces (meestal API's) ter beschikking stellen die deze derden in staat stellen om tussen te komen, op voorwaarde dat de klant hiervoor toestemming heeft gegeven.

Essentieel punt: het is niet de bank die beslist om toegang te verlenen, het is de klant. Zonder expliciete toestemming circuleren er geen gegevens.

Het Belgische kader: wie doet wat?

De omzetting in Belgisch recht

België heeft de PSD2 voornamelijk omgezet via de wet van 19 juli 2018, die de nieuwe regels heeft geïntegreerd in boek VII van het Wetboek van economisch recht, gewijd aan betalings- en kredietdiensten. De hieronder beschreven rechten vallen dus niet alleen onder het Europees recht: ze zijn rechtstreeks inroepbaar in het Belgisch recht.

De rol van de toezichthoudende autoriteiten

De Nationale Bank van België (NBB) verleent vergunningen aan en houdt toezicht op betaalinstellingen, inclusief de nieuwe aanbieders van rekeninginformatiediensten en betalingsinitiatiediensten. De FSMA treedt op met betrekking tot gedragsregels en consumenteninformatie. De FOD Economie zorgt op haar beurt voor de controle op de naleving van het Wetboek van economisch recht.

Concreet moet een in België actieve dienstverlener een vergunning hebben of geregistreerd zijn, hetzij bij de NBB, hetzij bij een gelijkwaardige autoriteit van een andere lidstaat indien hij opereert onder het regime van het Europees paspoort. De officiële registers zijn openbaar en online raadpleegbaar, met name via het register van de Europese Bankautoriteit (EBA).

Wat er concreet verandert voor particulieren

Accountaggregatie (AIS-diensten)

Een rekeninginformatiedienst maakt het mogelijk om in één applicatie de saldi en transacties van meerdere banken te bekijken. Een klant met een zichtrekening bij één bank, een spaarrekening bij een tweede en een gezamenlijke rekening bij een derde kan hiervan een geconsolideerd overzicht krijgen.

In België hebben verschillende grote banken deze functionaliteit rechtstreeks in hun eigen mobiele applicatie geïntegreerd, naast onafhankelijke budgetbeheerapplicaties. De functionaliteiten variëren aanzienlijk per aanbieder: sommigen halen alleen de saldi op, anderen de gedetailleerde geschiedenis met automatische categorisatie van uitgaven.

Betalingsinitiatie (PIS-diensten)

Een betalingsinitiatiedienstverlener initieert een overschrijving vanaf de rekening van de klant, met diens toestemming, zonder gebruik te maken van een kaart. Op een e-commerce website vertaalt dit zich in een omleiding naar de beveiligde omgeving van de bank, een validatie, en vervolgens een terugkeer naar de webwinkel.

Voor de particulier blijft de transactie een klassieke overschrijving: de gelden vertrekken van de rekening, er is geen krediet of tussenpersoon die de gelden vasthoudt. Let wel, een gewone overschrijving geniet niet van de betwistingsmechanismen die eigen zijn aan kaartbetalingen.

Sterke cliëntauthenticatie (SCA)

Dit is de meest zichtbare verandering in het dagelijks leven. Sterke authenticatie vereist de combinatie van ten minste twee elementen uit verschillende categorieën:

• kennis: een wachtwoord, een pincode;


• bezit: een kaartlezer, een geregistreerde smartphone, een bankkaart;


• inherentie: een vingerafdruk, gezichtsherkenning.

In België gebeurt dit typisch via een kaartlezer (digipass), de mobiele applicatie van de bank of een digitale identiteitsapplicatie. Er bestaan uitzonderingen, met name voor betalingen van kleine bedragen, herhaalde contactloze betalingen onder bepaalde drempels of begunstigden die de klant zelf heeft opgenomen in een lijst van vertrouwde begunstigden.

Een interessante ontwikkeling: de gedelegeerde verordening (EU) 2022/2360 heeft het maximale interval waarboven een nieuwe sterke authenticatie vereist is voor het raadplegen van rekeningen via een aggregator, verlengd van 90 naar 180 dagen. Herhaalde herverbindingen zijn dus minder frequent dan in het begin van Open Banking.

Versterkte bescherming bij ongeoorloofde transacties

De PSD2 heeft het bedrag van het eigen risico dat voor rekening van de betaler kan blijven in geval van een ongeoorloofde transactie als gevolg van verlies, diefstal of misbruik van een betaalinstrument, verlaagd van 150 naar 50 euro. Dit eigen risico