Compliance en wetgeving voor e-commercebetalingen

Naleving is wettelijk verplicht, maar dat is niet de enige reden om het op orde te hebben. Een acquirer die twijfelt aan uw compliance, twijfelt ook aan uw contract.

De vier kaders die er in de praktijk toe doen: PSD2 voor betaaldiensten en sterke klantauthenticatie, PCI DSS voor de verwerking van kaartgegevens, de AVG voor persoonsgegevens en de Wwft voor witwasbestrijding en klantonderzoek. Daarnaast geldt voor vergunninghoudende partijen de Wet op het financieel toezicht.

PSD2 en sterke klantauthenticatie

De tweede Payment Services Directive geldt sinds januari 2018; de verplichting tot sterke klantauthenticatie werd vanaf september 2019 gefaseerd gehandhaafd. Die verplichting is de wijziging met de meeste praktische gevolgen.

Sterke klantauthenticatie vraagt om minstens twee van deze drie factoren:

• Kennis — iets dat alleen de klant weet, zoals een wachtwoord of pincode.
• Bezit — iets dat alleen de klant heeft, zoals zijn telefoon of een token.
• Inherentie — iets dat de klant is, zoals een vingerafdruk.

Voor uw webshop betekent dat een werkende 3D Secure 2.0-implementatie bij creditcardbetalingen, en een correcte afhandeling van de uitzonderingen. Die uitzonderingen zijn het interessantste deel: elke terecht toegepaste vrijstelling is een klant die niet door een extra scherm hoeft.

PCI DSS

De Payment Card Industry Data Security Standard geldt voor iedereen die kaartgegevens verwerkt, opslaat of verzendt. Dat is verplicht voor elke merchant die kaartbetalingen accepteert, en het niveau waarop u moet aantonen dat u voldoet, hangt af van uw transactievolume.

• Bepalen op welk niveau u valt en welke validatiemethode daarbij hoort.
• De juiste Self-Assessment Questionnaire invullen.
• Scope beperken door gehoste betaalpagina's te gebruiken. Gegevens die nooit bij u binnenkomen, hoeft u ook niet te beveiligen.
• Tokenization en encryptie van kaartgegevens.
• Jaarlijkse audits en certificering.

AVG

De Algemene Verordening Gegevensbescherming stelt eisen aan elke verwerking van persoonsgegevens. Voor betalingsverwerking betekent dat onder meer:

• transparantie over hoe klantgegevens worden verwerkt en bewaard;
• een geldige grondslag: toestemming, contract of gerechtvaardigd belang;
• recht op inzage, correctie en verwijdering;
• een gegevensbeschermingseffectbeoordeling bij risicovolle verwerkingen;
• melding van een datalek binnen 72 uur;
• privacy by design en privacy by default.

In de praktijk komt het vaak neer op één document dat er niet is: een verwerkersovereenkomst met uw PSP.

Wwft: witwasbestrijding en klantonderzoek

De Wet ter voorkoming van witwassen en financieren van terrorisme verplicht financiële instellingen tot klantonderzoek en het monitoren van verdachte transacties. Voor PSP's en merchants met een eigen vergunning betekent dat:

• identificatie en verificatie van klanten;
• screening tegen sanctielijsten;
• transactiemonitoring en detectie van ongebruikelijke activiteit;
• melding van ongebruikelijke transacties bij FIU-Nederland;
• bewaren van de documentatie gedurende ten minste vijf jaar.

Training compliance en regelgeving

Heights verzorgt trainingen over compliance en regelgeving in het betalingsverkeer, gericht op compliance officers, financial controllers, risk managers en operations managers die de naleving in hun portefeuille hebben.

Vraag informatie aan over trainingen