Sikker betaling: e-handelsstandarder og certificeringer

Når det gælder onlinebetaling, er spørgsmålet ikke, om der vil opstå en hændelse, men hvem der kommer til at bære omkostningen. Svaret afhænger af to elementer: overholdelse af den standard, der gælder for kortdata, og den faktiske anvendelse af stærk kundeautentifikation. En forhandler, der overholder begge dele, bærer en lille risiko; en forhandler, der har omgået autentifikationen for at gøre sit betalingsflow mere gnidningsfrit, bærer hele udgiften til svigagtige ubetalte transaktioner.

Stærk kundeautentifikation, og hvem der betaler ved svig

Det europæiske betalingstjenestedirektiv kræver en stærk kundeautentifikation for de fleste onlinetransaktioner. Den bygger på mindst to uafhængige elementer ud af tre kategorier: noget kunden ved (adgangskode, kode), noget vedkommende har (telefon, kort), noget vedkommende er (fingeraftryk, ansigtsgenkendelse).

Den ansvarsregel, der følger heraf, er enkel og ofte misforstået:

• Når den stærke kundeautentifikation er blevet anvendt, ligger byrden ved en omstridt svigagtig transaktion ikke hos forhandleren.
• Når den er blevet fravalgt — gennem en fritagelse påberåbt af forhandleren eller dennes udbyder — flyttes risikoen over på den, der har anmodet om fritagelsen.

Der findes fritagelser: transaktioner af lav værdi, betroede modtagere registreret af kunden, realtidsrisikoanalyse under visse betingelser. De gør forløbet mere gnidningsfrit, men til prisen af en ansvarsoverførsel, der skal påtages med fuldt kendskab til konsekvenserne.

Kunden har desuden ret til tilbagebetaling ved en ikke-godkendt transaktion, som banken skal udføre uden unødigt ophold, medmindre der er mistanke om svig fra kundens side. Tvisten afgøres derefter mellem institutionerne og forhandleren.

Standarden for kortdata

Enhver enhed, der opbevarer, behandler eller overfører kortdata, er underlagt branchens sikkerhedsstandard, uanset omfanget af dens aktivitet. Kravniveauet varierer afhængigt af antallet af årlige transaktioner, men princippet kan ikke forhandles.

Den mest effektive måde at reducere denne byrde på er at reducere omfanget. En forhandler, der aldrig har adgang til kortdata — fordi indtastningen sker i et felt hostet af betalingsudbyderen, eller på en omdirigeret side — får sine forpligtelser betydeligt lettet.

To praksisser ophæver denne fordel og forekommer jævnligt: at modtage et kortnummer via e-mail eller telefon og selv indtaste det, og at gemme numre i en fil »for at lette fremtidige bestillinger«. I begge tilfælde udvides omfanget til hele den infrastruktur, der har håndteret dataene.

Selve tokenisering er svaret på behovet for tilbagevendende betaling: forhandleren opbevarer et token, der er ubrugeligt uden for sin egen kontekst, aldrig selve kortnummeret.

Hvad der hører under databeskyttelse

Betalingsdata er personoplysninger, og behandlingen heraf kommer oven i de sektorspecifikke forpligtelser uden at erstatte dem.

Tre punkter strukturerer overholdelsen: et retsgrundlag for hver behandling, en opbevaringsperiode begrænset til det nødvendige, og en kontraktlig regulering af betalingsudbyderen i egenskab af databehandler.

Opbevaring af bankoplysninger for at lette et senere køb forudsætter det specifikke samtykke fra kunden, adskilt fra accepten af de generelle vilkår. En enkelt afkrydsningsboks, der dækker både de generelle vilkår og opbevaringen af kortet, opfylder ikke dette krav — samme ræsonnement som det, der er beskrevet for trackere og cookies, hvor samtykket skal indhentes for hvert formål for sig.

Ubetalte fordringer og bekæmpelse af svig

To forskellige risici hviler på en forhandler, og de kræver forskellige svar.

Den svigagtige ubetalte transaktion skyldes et stjålet kort eller identitetstyveri. Stærk kundeautentifikation neutraliserer den ved at overføre byrden. Det er den eneste ordning, der reelt beskytter.

Den uberettigede tilbageførsel opstår, når en kunde bestrider en transaktion, som vedkommende faktisk har gennemført. Her er autentifikation ikke nok: man skal kunne dokumentere leveringen og ydelsens overensstemmelse. De relevante beviser er sporbarhed i forsendelsen, bevis for aflevering og korrespondancehistorik — et emne, der uddybes i vores artikel om leverings- og returforpligtelser.

En tredje ordning begrænser begge dele: loft og filtrering af atypiske transaktioner, efter beløb, hyppighed eller geografisk område.

Anvendelsesscenarier

Standard-webshop. Brug et indtastningsfelt hostet af udbyderen, rør aldrig ved kortdata, behold stærk kundeautentifikation aktiveret som standard. Det er den konfiguration, der minimerer både compliancebyrden og den økonomiske risiko.

Tilbagevendende abonnement. Anvend tokenisering, med et specifikt samtykke fra kunden til opbevaring af betalingsmidlet, adskilt fra accepten af de generelle vilkår.

Telefonsalg. Det er den mest risikable situation: ingen stærk kundeautentifikation, data dikteret mundtligt. Foretræk at sende et betalingslink, som bringer transaktionen tilbage inden for den sikre ramme og efterlader et spor.

Ofte stillede spørgsmål

Er stærk kundeautentifikation obligatorisk? Ja, for de fleste onlinetransaktioner, medmindre der gælder regulerede fritagelser. At påberåbe sig en fritagelse overfører svigbyrden til den, der anmoder om den.

Hvem betaler ved kortsvig? Hvis stærk kundeautentifikation er blevet anvendt, ligger byrden ikke hos forhandleren. Hvis den er blevet fravalgt via en fritagelse, flyttes den over på den, der har anmodet om den.

Skal man være certificeret for at sælge online? Standarden gælder, så snart kortdata opbevares, behandles eller overføres. Kravniveauet afhænger af omfanget, men omfanget reduceres kraftigt, når forhandleren aldrig får adgang til dataene.

Kan man opbevare et kortnummer? Ikke i klartekst, og ikke uden specifikt samtykke. Tokenisering gør det muligt at foretage tilbagevendende betaling uden at opbevare selve nummeret.

Kan et nummer modtaget via e-mail indtastes? Det bør absolut undgås: dataene kommer derved ind under compliance-omfanget for hele den infrastruktur, der har behandlet dem, herunder e-mailsystemet.

Hvordan forsvarer man sig mod en uberettiget indsigelse? Med bevis for levering og overensstemmelse: sporbarhed i forsendelsen, bevis for aflevering, korrespondancehistorik. Autentifikation alene besvarer ikke denne indsigelse.

Det vigtigste at huske

To beslutninger afgør en onlineforhandlers eksponering, og begge træffes i det øjeblik, man vælger sit betalingsflow.

Den første er aldrig at få adgang til kortdata, ved at lade indtastningen foregå hos udbyderen. Det reducerer compliancebyrden betydeligt og fjerner risikoen for datalækage.

Den anden er at fastholde stærk kundeautentifikation frem for at påberåbe sig fritagelser for at gøre forløbet mere gnidningsfrit. Hver fritagelse vinder nogle få konverteringspoint og overfører omkostningen ved svig. Regnestykket bør laves eksplicit, med den reelle andel af ubetalte fordringer holdt op mod konverteringsgevinsten — det er en af de centrale afvejninger inden for de juridiske rammer for en webshop.