Veiligheid van online bankieren en PSD2: wat u moet weten

De algemene acceptatie van online bankdiensten heeft de manier waarop we ons geld beheren getransformeerd. Maar dit gemak gaat gepaard met nieuwe risico's gerelateerd aan fraude en datadiefstal. Om de consumentenbescherming te versterken, heeft de Europese Unie de tweede richtlijn voor betaaldiensten ingevoerd, beter bekend als PSD2. Dit artikel legt uit wat deze regelgeving inhoudt en hoe deze de veiligheid van uw dagelijkse banktransacties beïnvloedt.

Wat is PSD2?

PSD2 (Payment Services Directive 2) is een Europese richtlijn die in 2015 is aangenomen en vanaf 2018 geleidelijk van kracht is geworden. Ze vervangt de eerste richtlijn voor betaaldiensten en heeft verschillende hoofddoelen: de veiligheid van elektronische betalingen versterken, innovatie en concurrentie bevorderen, en de consumentenbescherming verbeteren.

Deze richtlijn is van toepassing op alle betaaldienstverleners die actief zijn in de Europese Economische Ruimte. Ze reguleert met name kaartbetalingen, overschrijvingen en nieuwe spelers in de financiële sector, zoals rekeninginformatiediensten en betaalinitiatiediensten.

De belangrijkste principes geïntroduceerd door PSD2

PSD2 is gebaseerd op twee belangrijke pijlers. De eerste betreft sterke cliëntauthenticatie, bedoeld om transacties beter te beveiligen. De tweede heeft betrekking op de openstelling van het banksysteem, genaamd « open banking », dat derde partijen in staat stelt, met toestemming van de cliënt, toegang te krijgen tot bepaalde bankgegevens via speciale interfaces.

Sterke cliëntauthenticatie (SCA)

Een van de meest zichtbare bijdragen van PSD2 voor gebruikers is sterke cliëntauthenticatie, vaak aangeduid met de afkorting SCA (Strong Customer Authentication). Dit mechanisme is gericht op het verminderen van fraude bij online betalingen en toegang tot rekeningen.

Het principe van de drie factoren

Sterke authenticatie vereist de combinatie van ten minste twee onafhankelijke elementen die tot drie verschillende categorieën behoren:

• Kennis: iets wat alleen de gebruiker weet, zoals een wachtwoord of een pincode.


• Bezitsfactor: iets wat alleen de gebruiker bezit, zoals een mobiele telefoon of een beveiligingsapparaat.


• Inherentie: iets wat de gebruiker kenmerkt, zoals een vingerafdruk of gezichtsherkenning.

De onafhankelijkheid van deze factoren is essentieel: het in gevaar brengen van één factor mag de betrouwbaarheid van de andere niet ondermijnen. Daarom is het simpelweg invoeren van een wachtwoord niet langer voldoende om veel transacties te valideren.

Concreet, wat verandert er voor u?

In de praktijk heeft u deze ontwikkelingen waarschijnlijk al opgemerkt. Bij een online aankoop kan uw bank u vragen de transactie te bevestigen via haar mobiele app, door een te valideren melding, door het invoeren van een code die per bericht is ontvangen, of door uw vingerafdruk. De unieke code die per sms wordt verzonden, indien alleen gebruikt, wordt geleidelijk aangevuld of vervangen door methoden die als robuuster worden beschouwd.

Het doel is ervoor te zorgen dat de persoon die de transactie uitvoert, de rechtmatige rekeninghouder is. Deze extra stap kan omslachtig lijken, maar draagt bij aan het beperken van frauduleus gebruik van gestolen bankgegevens.

De uitzonderingsgevallen

De regelgeving voorziet in bepaalde uitzonderingen op sterke authenticatie, om de gebruikerservaring niet onnodig te verzwaren. Tot de betreffende situaties behoren met name betalingen van lage bedragen, terugkerende betalingen van een identiek bedrag aan dezelfde begunstigde, of overschrijvingen naar een begunstigde die u eerder als vertrouwd heeft geregistreerd. Deze uitzonderingen zijn omkaderd door precieze criteria en de toepassing ervan hangt af van de risicoanalyse die door de betaaldienstverlener wordt uitgevoerd.

Open banking en het delen van gegevens

PSD2 heeft de bankenmarkt ook opengesteld voor nieuwe gereguleerde spelers. Met uw expliciete toestemming kunnen derde partijen toegang krijgen tot bepaalde informatie van uw rekeningen.

Rekeninginformatiedienstverleners

Deze dienstverleners, soms aggregators genoemd, stellen u in staat al uw rekeningen bij verschillende banken binnen één interface te bekijken. Dit vergemakkelijkt het bijhouden van uw budget en het beheer van uw persoonlijke financiën.

Betaalinitiatiedienstverleners

Andere dienstverleners kunnen op uw verzoek een betaling rechtstreeks vanaf uw bankrekening initiëren, zonder tussenkomst van een kaart. Deze dienst wordt met name gebruikt door sommige online handelaren.

In alle gevallen blijft de toegang tot uw gegevens onderworpen aan uw toestemming. Derde partijen moeten geaccrediteerd zijn door de bevoegde autoriteiten en voldoen aan strenge eisen op het gebied van veiligheid en gegevensbescherming. U kunt uw toestemming doorgaans op elk moment intrekken.

Welke bescherming voor consumenten?

PSD2 heeft verschillende rechten van gebruikers van betaaldiensten versterkt. In geval van een ongeautoriseerde betaaltransactie reguleert de wetgeving de voorwaarden voor terugbetaling. Wanneer fraude optreedt en sterke authenticatie niet is toegepast terwijl dit wel had gemoeten, kan de aansprakelijkheid van de betaler worden verminderd, mits deze niet frauduleus of ernstig nalatig heeft gehandeld.

Het is echter belangrijk te begrijpen dat de aansprakelijkheid van de gebruiker blijft bestaan indien deze ernstige nalatigheid heeft vertoond, bijvoorbee