PSD2: naar open banking en bankieren in een ecosysteem

VOORWOORD V
LIJST VAN GEBRUIKTE AFKORTINGEN XIII
WOORD VAN DANK XV
INLEIDING EN PLAN VAN BEHANDELING XVII

1. INTRODUCTIE VAN BETAALDIENSTVERLENING EN BETAALINSTELLINGEN 1
1.1 Waarom wordt betaaldienstverlening gereguleerd? 1
1.1.1 Gedragstoezicht 2
1.1.2 Microprudentieel toezicht 2
1.1.3 Integriteitstoezicht: bestrijding van witwassen en terrorismefinanciering 2
1.1.4 Beschikbaarheid van betaalsystemen 3
1.1.5 Marktordening/mededinging 3
1.2 Betaaldienstverleners vallen onder Europese regels die nationaal zijn geïmplementeerd 4
1.2.1 PSD2 bevat hoofdzakelijk maximumharmonisatie 4
1.2.2 De verplichting tot richtlijnconforme interpretatie van PSD 6
1.2.3 De diverse Europese rechtsbronnen die zijn toegepast bij de regulering van betaaldiensten conform PSD2 6
1.2.4 Andere Europese rechtsbronnen die relevant zijn voor betaaldienstverleners 9
1.2.5 De diverse Nederlandse rechtsbronnen die zijn gebruikt bij de regulering van betaaldiensten 10
1.3 De toezichthouders 11
1.3.1 De Nederlandsche Bank (DNB) 11
1.3.2 Autoriteit Financiële Markten (AFM) 12
1.3.3 Autoriteit Consument en Markt (ACM) 12
1.3.4 Autoriteit Persoonsgegevens (AP) 13
1.3.5 De Europese Bankautoriteit (EBA) 13
1.3.6 Het Europees Comité voor gegevensbescherming (EDPB) 13
1.3.7 Europese Centrale Bank (ECB) 14
1.4 Wat is het verschil tussen kredietinstellingen, elektronischgeldinstellingen en betaalinstellingen? 14
1.5 De betaaldiensten onder PSD2 geïntroduceerd 16
1.6 In hoeverre kunnen betaaldienstverleners op basis van hun betaalinstelling vergunning krediet verlenen? 20

2. OVERZICHT VAN DE MARKT: VERDIENMODELLEN 21
2.1 Reguliere betaaldienstverleners 21
2.2 Platforms en grote bedrijven 23
2.3 BigTechs 24
2.4 De AISP en de PISP 25

3. DE BUITENGRENZEN VAN HET TOEZICHT 29
3.1 Reikwijdte van PSD2 (regulatory parameter) 30
3.1.1 Betaaldiensten voor een ander 30
3.1.2 In de uitoefening van beroep of bedrijf 33
3.2 Uitzonderingen op PSD2 36
3.2.1 Commercial agent exemption (uitzondering voor handelsagenten) 37
3.2.2 Limited network of limited products 40
3.2.3 Telecom (elektronische communicatienetwerken) 43
3.2.4 Technical service providers (technischedienstaanbieders) 44
3.3 Kleine betaaldienstverleners 44
3.3.1 Maximaal betalingsvolume 46
3.3.2 Doorlopende verplichtingen 46
3.4 Tussenconclusie 47

4. BETAALDIENSTVERLENERS OVER DE GRENZEN 49
4.1 Het Europese paspoort voor betaalinstellingen en betaaldienstverleners 50
4.1.1 Notificatie 51
4.1.2 Verdeling van de voortdurende toezichtsbevoegdheden (prudentieel toezicht) 52
4.1.3 Verdeling van toezichtsbevoegdheden (gedragstoezicht en marktordening) bij betaaldienstverleners 53
4.2 Wanneer is een vergunning in de EU nodig? 55
4.3 Hoe worden betalingen verricht door een betaaldienstverlener binnen de EU naar een bestemming buiten de EU gereguleerd? 57
4.4 Implementatie van de Europese verdeling van toezichtsbevoegdheden in de Nederlandse wetgeving 59
4.5 Hoe worden betalingen verricht door een betaaldienstverlener voor cliënten buiten de EU gereguleerd? 61
4.6 Tussenconclusie 62

5. DE AISP NADER BEKEKEN 64
5.1 Waarom worden AISPs eigenlijk gereguleerd? 65
5.2 Wat is een AISP en wat is dus geen AISP? 68
5.2.1 Welke activiteiten vereisen geen vergunning als AISP? 69
5.2.2 Welke activiteiten vereisen wel een vergunning als AISP? 73
5.2.3 Wat moet een AISP minimaal doen om te kwalificeren als AISP? 74
5.3 Wat mag een AISP doen? 75
5.4 Valt de AISP onder een vergunnings- of registratie regime? 76
5.5 Aan welke vereisten moeten AISPs voldoen? 77
5.6 AISPs vallen nauwelijks onder gedragstoezicht 78
5.7 AISPs vallen alleen onder algemene verplichtingen uit het Burgerlijk Wetboek 80
5.8 Wie is de cliënt van de AISP en waarom is dat belangrijk? 81
5.9 Tussenconclusie 83

6. DE PISP NADER BEKEKEN 85
6.1 Waarom worden PISPs eigenlijk gereguleerd? 86
6.2 Wat is een PISP en wat is dus geen PISP? 87
6.3 Aan welke vereisten moeten PISPs voldoen? 89
6.4 Wie is de cliënt van de PISP en waarom is dat belangrijk? 89
6.5 Tussenconclusie 90

7. ACCESS TO THE ACCOUNT (XS2A) EN STRONG CUSTOMER AUTHENTICATION (SCA) 91
7.1 Wie krijgt toegang bij access to the account? 91
7.2 Welke verplichtingen heeft de ASPSP bij XS2A? 92
7.3 XS2A geldt alleen voor betaalrekeningen, maar wat is een betaalrekening? 93
7.4 Voor XS2A moet de betaalrekening online raadpleegbaar zijn 98
7.5 Voorwaarden voor XS2A in het geval van een AISP 99
7.6 Voorwaarden voor XS2A in het geval van een PISP 99
7.7 Wat is strong customer authentication (SCA) 100
7.8 Wijze van toegang: dedicated interface voor TPPs of de cliënteninterface? 101
7.9 Standaardisatie van dedicated interfaces? 103
7.10 Het belang van een smooth customer journey 104
7.11 Tussenconclusie 105

8. INRICHTING VAN DE BETAALINSTELLING 106
8.1 De Europese oorsprong van de inrichtingseisen 106
8.2 Proportionaliteit 108
8.3 Governance en three lines of defense 108
8.3.1 Bestuur 109
8.3.2 Raad van Commissarissen 109
8.3.3 Compliance, risk en audit 110
8.4 Regulatoir kapitaal 110
8.5 Vermogensscheiding 112
8.6 Nevenactiviteiten 114
8.7 Uitbesteding 115
8.8 Licht regime voor PISPs en AISPs 117
8.9 Betaalinstellingen die onderdeel uitmaken van een groep 118

9. PRIVACY EN GEBRUIK VAN BETAALGEGEVENS 120
9.1 Wie houdt er toezicht op privacy met betrekking tot betaalgegevens? Is dat DNB of toch de AP? 120
9.2 Wat is de verhouding tussen toestemming in de zin van PSD2 en toestemming in de zin van de AVG? 121
9.3 Hoe om te gaan met de problematiek van de silent party data bij XS2A-dienstverlening? 125
9.4 In hoeverre mogen betaaldienstverleners persoonsgegevens die zijn verkregen voor betaaldiensten gebruiken voor andere diensten dan betalen? 127
9.4.1 Gebruik van betaalgegevens vóór de cliënt 128
9.4.2 Gebruik van betaalgegevens mét de cliënt (marketing) 129
9.4.3 Gebruik van betaalgegevens tégen de cliënt 131
9.5 In hoeverre is de cliënt eigenlijk bereid zijn betaalgegevens te laten inzien en te delen? 133
9.6 Tussenconclusie 135

10. AANSPRAKELIJKHEID EN ZORGPLICHT VAN DE BETAALDIENSTVERLENER 137
10.1 Aansprakelijkheid voor klassieke betaaldienstverlening op hoofdlijnen 137
10.2 Zorgplicht van de betaaldienstverlener bij misleiding of kwetsbare cliënten 139
10.3 Privaatrechtelijke aansprakelijkheid van ASPSP en PISP wanneer een PISP is betrokken 145
10.4 Privaatrechtelijke zorgplicht wanneer een AISP is betrokken voor AISP en ASPSP 147
10.5 Tussenconclusie 149

11. MEDEDINGING 150
11.1 Het standaardbetalingsverkeer 151
11.1.1 Autorisatie 152
11.1.2 Settlement en clearing 153
11.2 Openbreken van monopolie op de bankrekening van de individuele cliënt 154
11.3 Versterken positie van niet-banken bij toegang tot systemen voor autorisatie, clearing en settlement 157
11.4 Het recht van betaalinstellingen om zelf een bankrekening aan te houden 158
11.5 Mededingingsvragen bij BigTechs en betalen 161
11.6 Opheffen van belemmeringen bij het wisselen van bankrekening 162
11.7 Tussenconclusie 163

12. BESTRIJDING VAN WITWASSEN, FINANCIERING VAN TERRORISME EN HANDHAVING VAN SANCTIES 164
12.1 Een betaaldienstverlener moet cliëntenonderzoek doen onder zakelijke relaties en bij grote transacties, maar wat zijn dat? 166
12.2 Welke verplichtingen heeft de AISP? 167
12.2.1 De AISP valt onder AMLD4 167
12.2.2 Wat wordt concreet van de AISP verwacht 168
12.3 Welke verplichtingen heeft de PISP? 170
12.4 Tussenconclusie 172

13. CONCLUSIE EN VOORUITBLIK NAAR PSD3 173
13.1 Verduidelijking van reikwijdte en aansluiting reikwijdte op doelstellingen van PSD2 173
13.2 Verduidelijking van de internationale reikwijdte van PSD2 174
13.3 Nadere invulling van de figuur van de AISP 175
13.4 Nadere invulling van de figuur van de PISP 176
13.5 Gestandaardiseerde APIs 176
13.6 Toegang tot welke rekening? Toegang tot alles? 177
13.7 Geconsolideerd toezicht voor betaalinstellingen 178
13.8 Privacy en gebruik van betaalgegevens wordt een belangrijk thema 179
13.9 Zorgplicht 180
13.10 Toegang tot systemen die onder de finaliteitsrichtlijn vallen 180
13.11 De rol van de AISP en PISP bij het voorkomen van witwassen wordt verhelderd 180
13.12 Volwassenwording van het Europese betaalsysteem 181
13.13 Markets in Crypto-assets voorstel van de Europese Commissie 183
13.14 Slotwoord 184

Annex 1 empirisch onderzoek governance en vergunningen
betaalinstellingen en elektronisch geldinstellingen 185
Annex 2 overzicht regelgeving in diverse lidstaten voor kleine
betaaldienstverleners en AISPs 201
Literatuurlijst 205
Jurisprudentieregister 209
Wetsartikelenregister 211