Wrap-up van de Conferentie Goed voorbereid op PSD2

Op 8 maart 2018 heeft de Conferentie ‘Goed voorbereid op PSD2’ plaats gevonden in het NH Hotel te Amsterdam Zuid. Dagvoorzitter Gijs Boudewijn, directeur Betaalvereniging, sloot de succesvolle dag af door middel van een luchtige Wrap-up die het verloop van de dag goed samenvat. In dit verslag kunt u deze wrap-up teruglezen: 

 

TPP vergunningen

Na een korte aftrap door dagvoorzitter Gijs Boudewijn gingen we om 09.45 uur van start met Tijmen Daniels, programmamanager PSD2 van De Nederlandse Bank (DNB). De DNB mag straks de TPP vergunningen gaan uitgeven, alleen daar moet dan wel eerst de wetgeving voor klaar zijn. Volgens Tijmen kan er al een hele hoop. Hij vertelde ons wat het verschil is tussen de wet, technische reguleringsnormen en guidelines (comply or explain). Een opinie van de EBA is volgens hem: een opinie is niet zomaar een mening, nee, dat is er een om rekening mee te houden! De EBA adviseert in zijn opinie om al zoveel mogelijk met concepten te werken en je huiswerk goed voor te bereiden. Je kunt wel alvast oefenen voor een vergunning maar het aanvraagformulier kan je nog niet insturen. Tenslotte waarschuwde Tijmen: “Vergis je niet, beste TPPs, het zijn gereguleerde diensten waar je altijd een vergunning voor nodig hebt! Maar de koffie staat altijd klaar op het Frederiksplein.”

De ambitie van Tail

De volgende spreker was Philipp Keller, CEO Tail. Philipp Keller nam ons mee in de ambitie van Tail om de grootste van EU te worden, “We all live in a fintech bubble, right?”, zo zei hij. Hij vertelde ons hoe je met open APIs van alles mogelijk kunt maken. In het geval van Tail; samenwerking met de winkeliers in Engeland voor cash back, ofwel harde knaken terug. Tail betaalt wekelijks uit, gemiddeld 10 pond; de vrijmibo betalen met je Tail app, handig! En geen bonnetjes meer nodig. Gaat dat ook hier werken? “Ons ben zunig”, hier geven winkeliers volgens mij liever zegeltjes die de klant vergeet of kwijtraakt, dan geld. Account linked blijkt beter dan card linked, want dan zie je alles wat de rekeninghouder doet. En dat geeft onverwachte toepassingen. De app Mable Care kan zelfs uit  het betaalgedrag van de rekeninghouder afleiden of deze aan het dementeren is. Wow! ‘Hoe moet dat met en/of rekeningen?’ vraagt Gijs Boudewijn zich af.

Standaardisatie van API’s

Na de koffiepauze nam Wijnand Machielse het woord over standaardisatie van API’s. Hij lichtte nog eens toe waarom als je Berlin Gruppe als Berlin Group uitspreekt zodat het voor de rest van EU het beste verteerbaar is (net als Lissabon en Maastricht). Wijnand wil graag een goede interface aanbieden aan de TPP’s en wil zeker geen IT nachtmerrie. Heel de aanbodzijde is vertegenwoordigd, maar er waren wel de nodige uitdagingen, want ze doen het allemaal net even anders. Daarom maar een consultatie gedaan: en wat kwam daar uit? Bijvoorbeeld de wens dat de TPP de SCA exemption kan afdwingen met liability shift, nou dat gaan we volgens hem dus zeker niet doen!

Wijnand vertelde dat de organisatie hem nog zo had gevraagd het niet te technisch te maken maar vond de technische scope voor ons toch goed en interessant om te begrijpen. Want dan heb je een ISO20022 compliant restful API in JSON formaat, maar als je als AISP niet een eIDAS certificaat van een QTSP hebt kom je er bij de ASPSP niet in, ook al heb je explicit consent van de PSU. De wortel voor de banken blijkt uiteindelijk de vrijstelling voor de fall back zijn – en die is op zich ook al lastig te implementeren want je moet dingen uit de transport laag in de API zien te krijgen, zo begreep ik.

TPP’s; verschillende kijk op PSD2

Iddo de Jong van de Europese Centrale Bank (ECB) legde uit dat banken en TPP’s gek genoeg een heel verschillende kijk op PSD2 bleken te hebben. Daar moet je dan niet 20 jaar juridisch over vechten maar partijen om tafel zetten en ze met zachte dwang tot overeenstemming te laten komen. Het ging volgens Iddo eigenlijk alleen om het stimuleren van eCommerce. Rond 2005 begon de betalingsinitiatie te lopen, met toestemming van de bank (iDEAL) of zonder toestemming (Sofort). Dat laatste gaf toch wel wat zorgen en was reden voor de ECB om security recommendations op te stellen, en voor te stellen om het dan maar een gereguleerde business te maken. Dat werd dus PSD2. ANGST moeten we niet hebben want het is en blijft immers onze eigen beslissing om de TPP toe te laten. Geen wild-west dus, maar een nette gereguleerde business!

Afijn. Nadat ik de zaal had verteld dat ze de lunchtime al half hadden opgegeten renden we met zijn alleen naar beneden om ons kort maar krachtig inwendig te verzorgen. Dat moest ook kort want om vijf over één sprak Dirk Haubrich ons toe.

European Banking Autority (EBA)

Dirk leek wel aan het snorkelen maar dat bleek toch aan Skype te liggen. De European Banking Authority (EBA) leeft, zo wisten we al, van het uitvoeren van mandaten, en dat zijn er onder PSD2 een heleboel. Met als belangrijkste die over SCA en SC. Helaas heeft de Europese Commissie hun product enigszins aangepast, waardoor de laatste versie zeker niet de beste is. En daar hebben ze nog een hele boze brief over geschreven, maar ja, die fall back, die gaat niet meer weg.  Nu dus maar hopen op een goede API en uitzonderingen, en daar praat de EBA met de centrale banken over. Maar hoe het allemaal gezwaluwstaart moet worden met het werk van de API Evaluation group bleef nog onduidelijk.

Energieke pitches!

Vervolgens kregen we vijf energieke pitches van onder meer;

• Renza Gruter, Fox-IT: Die duikt in de toekomstige PSD2 cybercrimineel
• Daniel van Delft, Visa; Die een ingewikkeld verhaal over transaction risk analysis had
• Hessel Kuik, Bizcuit; Die ook nog wat lekkers had meegebracht, maar ook kansen voor ondernemingen ziet
• Jaco Booster, Enigma; Die niet van small talk houdt en alleen maar kansen ziet, maar ja hij is consultant
• Koen Adolfs, ABN AMRO; Die zijn hele bank open wil gooien voor Alibaba en zijn veertig rovers

Ze kwamen respectievelijk dingen halen en brengen. Wat en hoe precies zouden ze in twee rondjes ronde tafel verder uitleggen. Na twee ronde tafelsessies rondes, gingen we naar ons panel!

Paneldiscussie

De ACM moest helaas verstek laten gaan, maar Helena Verhagen van Privacy Valley bracht uitkomst. Helena is vooral van de data minimalisatie, en wist de GDPR in een woord samen te zetten: fairness! Tijmen Daniels van DNB was eerder deze dag al uitgebreid aan het woord geweest, dus we wisten al dat je droog kunt oefenen maar nog niet voor het ‘eggie’ kunt gaan. “Maar kom vooral met die nieuwe diensten”, riep Tijmen de zaal op, zoals de dementie monitor van Philipp. Michal Kalina van de Rabobank vertelde dat de bank binnenkort komt met misschien nog niet perfecte APIs, maar vond vooral dat ze het bij TROS radar droog moeten houden. Bart Combee van de consumentenbond, bracht ons de zorgen over voor de privacy van de consument, die glazig kijkt als je naar PSD2 vraagt. Hou je die aan het stuur? Een klein schuifje misschien, met een pop up? Want klanten worden al te makkelijk verleid om dingen te doen die ze niet kunnen overzien.

GDPR samengevat als accountability?

Gerrit-Jan Zwenne, hooggeleerd in de privacy, liet ons eerst zien dat Peter Blom van Triodos gezakt was voor zijn tentamen PSD2, maar anderzijds was hij maar wat blij dat Blom privacy op de kaart had gezet, want daar verdient hij immers zijn boterham mee. Hij vatte de GDPR toch iets anders samen dan Helena, namelijk met het woord “accountability”. Dat klinkt misschien minder leuk, maar, zo legde hij uit, hij was advocaat en denkt vooral in verantwoordelijkheid en aansprakelijkheid. Gelukkig bleken kwaadwillende fintech onder de AVG toch ook gewoon een bewijsplicht te hebben met betrekking tot toestemming. En de schuring tussen PSD2 en de AVG zit volgens hem vooral tussen de oren van de toezichthouders.

Digitale piekenpijp

De enige die ons nog van de borrel afhield was Tom Arends van Peaks, een digitale piekenpijp. Hij had bij Robeco de portefeuille van 28.000 naar 4.000 beleggingsproducten teruggebracht voordat hij de piekenpijp bedacht. Maar hoe zet je nou geld opzij zonder te besparen? Van shoppen word je blij, dus dat moment pak je dan op het wisselgeld te beleggen, en dat kan bij Peaks van mild tot heet. Alle kleine beetjes helpen, maar hoe regel je dat nou onder PSD2?

Best ingewikkeld, maar Ton dacht dat ze ongeveer wel voldoen aan alle voorwaarden voor consent die Gerrit-Jan net had geschetst. Wat wil je, als maar 12 van de 8.000 ondervraagde consumenten zich zorgen maken over PSD2 en privacy, dan kan je gewoon je gang gaan! En het stempel van de Rabobank zorgt ervoor dat Peaks niet wordt gezien als kwaadwillende fintech.

Dank voor uw komst en ik hoop dat u een nuttige dag hebt gehad!

Bekijk de website van de Conferentie Goed voorbereid op PSD2