Hvad er PSD2 helt præcist - og hvad betyder det for din webshop?

Hvis du er webshopejer, er du nok allerede klar over, at et nyt direktiv fra EU fornyligt trådte i kraft. Du har nok også allerede læst lidt op på de nye regler omkring surcharging - de er nemlig allerede gældende. PSD2 er dog mere end bare surcharging. Derfor får du her de vigtigste punkter fra PSD2 samt tips til, hvordan du kan imødekomme direktivets krav.

Hvorfor PSD2 - vi har jo allerede et betalingsdirektiv.

Ja, det har vi. Og det er da heller ikke fordi PSD1 ikke længere er relevant - det er bare ikke tilstrækkeligt. Siden PSD1 blev indført tilbage i 2007 har verden ændret sig på mange måder. Betalingsbranchen er bestemt ingen undtagelse, og for at følge med den rivende udvikling så EU sig nødsaget til at komme med en opdateret version af betalingsdirektivet - enter PSD2. 

Så hvad er det egentlig der er sket siden 2007? Først og fremmest har teknologi bragt en hel masse nye betalingsmetoder med sig - især mobilbetalinger og internetbaserede betalinger er skudt i vejret. Desuden er helt nye forretningsmodeller dukket op. Her taler man om PISPs (Payment Initiating Service Providers) og AISP (Account Information Service Providers). PISPs er virksomheder som PayPal og Mobile Pay, som igangsætter betalinger på vegne af kunden - uden betalingskortet er direkte involveret. AISPs sørger for at forbrugere får et godt overblik over deres forbrug og bankkonti, Spiir er et eksempel på en AISP. Alle disse nye tiltag skal selvfølgelig reguleres på en ordentlig måde - det er det PSD2 gør.

Efter PSD1 opdagede man også nogle uklarheder, tvetydigheder og huller i direktivet. Disse mangler bliver fikset i PSD2. Sidst, men ikke mindst, har EU besluttet at øge forbrugerbeskyttelsen og sikre, at alle virksomheder i EU er underlagt samme betingelser, for på den måde at gøre konkurrencebetingelserne ens for alle.

Det er kort sagt hvad man gerne vil med PSD2.

PSD2 Basics

I Danmark trådte PSD2 officielt i kraft per 1. januar 2018, hvorimod det først var den 13. januar de fleste andre steder. Det er dog ikke alle dele af PSD2 der er trådt i kraft endnu. Det er sådan, at PSD2 er opdelt i 12 mandater - hvert mandat består af enten guidelines eller tekniske standarder. 6 af mandaterne er trådt i kraft, mens de resterende 6 stadig er undervejs. Tjek tidslinjen i den vedhæftede fil nedenfor for et overblik over mandaterne og deres deadlines. 

Det vides endnu ikke hvornår de sidste 4 mandater træder i kraft. Disse er:

• Guidelines for rapportering af svindel
• Tekniske standarder for kommunikation mellem myndigheder i de forskellige lande
• Tekniske standarder for Den Europæiske Banktilsynsmyndigheds register
• Tekniske standarder for centrale kontaktpunkter

De vigtigste punkter fra PSD2

Da PSD2 omfatter alle parter i betalingsindustrien er der naturligvis en masse regler, som kun vil berøre betalingsinstitutter. Det er derfor slet ikke nødvendigt for en virksomhedsejer at sætte sig ind i samtlige mandater. For at gøre det lettere for dig at finde hoved og hale i det hele, vil jeg her opridse de punkter, som er relevante for virksomhedsejere.

Surcharging

Som sagt er forbuddet om surcharging af forbrugerkort allerede trådt i kraft - derfor ved du formentlig også godt hvad det handler om. For en god orden skyld vil jeg dog alligevel lige fortælle hvad det går ud på - i tilfælde af, at reglen er gået din næse forbi.

Når din indløser (den, som behandler dine betalinger) behandler en betaling, skal de betale et gebyr for at kunne acceptere de forskellige korttyper - dette gebyr kaldes interchange fee. Det gebyr er tidligere blevet pålagt forbrugeren under benævnelsen kortgebyr. Dette er dog ikke længere lovligt, såfremt der betales med et forbrugerkort. Du må altså stadig gerne tage gebyr for betalinger med forretningskort. 

Og hvad kan du så gøre ved det? Der er tre løsninger på problemet.

1. Du kan vælge at betale gebyret selv - som en del af prisen for din indløsningsaftale
2. Du kan vælge kun at acceptere forretningskort - det er dog usmart hvis mange af dine kunder er forbrugere
3. Du kan vælge at hæve dine priser en smule, således at gebyret bliver en del af prisen på dine varer

Du kan desværre ikke bare lade som om du ikke ved det. Forbrugerombudsmanden er nemlig allerede opmærksom på problemet og de mange kreative løsninger virksomhedsejere har forsøgt sig med - der er nemlig allerede indgivet en masse klager om ulovlig surcharging. Så hvis du ikke allerede har fundet en løsning, må du hellere komme i gang.

Sikker autentificering af kunder (Strong Customer Authentication)

Sikker autentificering af kunder (fremover SCA) er muligvis den mest omfattende regel for virksomhedsejere. De tekniske standarder for SCA sætter strenge krav til sikkerheden af betalinger. Kort sagt bliver det, som udgangspunkt, et krav, at alle betalinger skal gennemføres med såkaldt strong customer authentication/2-factor authentication. 

Og hvad er det så, tænker du måske. Jamen det betyder simpelthen, at en kode ikke længere er tilstrækkelig for at gennemføre et køb - der skal mindst to faktorer til. Disse faktorer kan være:

• Noget man ved (fx. statisk kode, password)
• Noget man ejer (fx. engangskode som sendes på SMS)
• Noget man er (fx. fingeraftryk eller iris)

Det er dog ikke altid en transaktion behøver SCA - der findes få undtagelser. SCA er ikke nødvendigt for:

• Online transaktioner under 30 euros (hver 5. transaktion skal dog have SCA og der skal SCA på for hver 100 euros en forbruger bruger, uanset antal transaktioner)
• Gentagne betalinger til samme modtager og af samme beløb (fx. abonnementer)
• Transaktioner, som betegnes som værende lavrisiko
• Transaktioner til en selv
• B2B betalinger, hvor et sikkert system anvendes til at behandle transaktionen 

Det lyder en smule kompliceret, men det er det faktisk slet ikke. Den letteste måde at omgås den nye regel på er ved at implementere 3-D Secure (Verified by Visa og Mastercard SecureCode) i sin webshop. Det kræver en indløser som understøtter dette, for eksempel Clearhaus.

3-D Secure kan nemt og hurtigt sættes op på enhver webshop og er ikke til gene for dig. Det er også en kort og hurtig proces din kunde skal igennem, så du behøver ikke bekymre dig om fald i konverteringen.

Udover at sikre, at du overholder de kommende PSD2-krav, er der en anden fordel du bør kende til. 3-D Secure medfører et ansvarsskifte. Det betyder, at så snart du forsøger at smide 3-D Secure på en transaktion, kan du ikke længere være ansvarlig, hvis transaktionen ender med at være svigagtig. Det vil sige, at hvis du anvender 3-D Secure på alle dine transaktioner, vil du ikke skulle betale en chargeback/tilbagebetaling for svindel. 

3-D Secure er dog ikke den eneste måde at omgås de nye regler på. Flere mobilbetalingsmetoder og digitale wallets lever nemlig også og til PSD2’s krav om sikker autentificering af kunder. For eksempel bruger man enten fingeraftrykslæseren eller ansigtsgenkendelse når man gennemfører en betaling med Apple Pay. De mobile betalingsmetoder er måske ikke så relevante for dig, hvis du kun har en webshop (selvom du selvfølgelig sagtens kan have mange kunder, som shopper fra mobilen). Men har du derimod en app, hvor folk kan købe fra, er mobilbetalinger oplagte. Derfor bør du helt sikkert undersøge, om din indløser giver dig mulighed for at modtage denne type betalinger. 

SCA er helt sikkert et af de helt store spørgsmål, som folk stadig søger svar på. Årsagen er simpelthen, at de tekniske standarder stadig ikke er indarbejdet i de nationale love, og virksomheder ved derfor ikke præcist hvordan lovgivningen kommer til at udforme sig. Der er dog ingen tvivl om, at 3-D Secure vil boome op mod deadline (som ligger i september næste år). Den danske indløsningsvirksomhed Clearhaus sporer brugen af 3-D Secure blandt sine kunder. Her ses det at 3-D Secure anvendes på 1 ud af 3 transaktioner, men de forventer at det bliver anvendt på stort set alle transaktioner inden for de kommende år. 

Det betyder dog ikke at 3-D Secure ikke er effektivt - for det er det. Tal fra Clearhaus viser nemlig, at webshops kan reducere svindel fra 8,8% til 2,6%, blot ved at anvende 3-D Secure. Det betyder faktisk, at en webshop kan gå fra at betale chargebacks på 4,85% af sine transaktioner til kun at gøre det på 0,26%. Der kan altså spares ret mange penge på chargebacks og diverse svindelforebyggende tiltag ved at bruge 3-D Secure.

Muligheder for nye forretningsmodeller

Det er selvfølgelig ikke alle, der er på udkig efter nye vækstmuligheder - og da slet ikke helt nye forretningsmodeller. Men er du allerede i branchen, eller søger du helt nye udfordringer, åbner PSD2 nye døre. Det er sådan set ikke fordi PISPs og AISPs er noget nyt. Nu er de bare reguleret på samme måde på tværs af EU, hvilket betyder at kunderne ved hvad de kan forvente. Det betyder også, at der er nogle krav til gennemsigtigheden af forretningen, så forbrugerne i højere grad vil stole på den.  

Så hvad kan du egentlig gøre?

PISPs er ikke for nybegyndere - der er nogle ret heftige krav til kapital og sikkerhed og det kræver en vis ekspertise. Du kan enten vælge at starte en helt ny betalingsservice - som PayPal, MobilePay og tyske Sofort har gjort det. Du kan også gå en anden vej, ligesom Amazon har gjort. De har tilføjet “Dash buttons” til listen over fordele til Prime-kunder. Dash-buttons findes både i en virtuel version på din side på Amazon, men også som fysiske knapper, som kan klistres fast rundt omkring i hjemmet. Ved at klikke på knappen bestiller kunderne et nyt produkt hjem, uden at skulle indtaste kortoplysninger eller noget som helst andet.

AISPs kan gøres uden lige så mange ressourcer. Spiir gør det ved at give forbrugere et overblik over deres økonomi, hjælper den med at overholde budgetter og meget mere. Man forventer især at banker begynder at yde en lignende service. PSD2 gør, at banker ikke længere må nægte AISPs adgang til kunders bankkonti, hvorfor det er blevet noget nemmere at være AISP.

Så..

.. al det postyr der har været omkring det nye betalingsdirektiv, har nok i virkeligheden ikke været nødvendigt. Der er nemlig slet ikke så meget du skal gøre som virksomhedsejer - og de ting du skal gøre er ret overskuelige. 

1. Stop med at surcharge forbrugerkort (det har du forhåbentlig allerede gjort)
2. Få 3-D Secure, Apple Pay eller lignende teknologier sat op i din webshop

Og så er du good to go - lovlydig og det hele.

Hvis du vil blive klogere på PSD2 udgiver Clearhaus snart en e-bog om emnet - hold dig opdateret på deres blog, for at få fingrene i bogen.