Nieuwe regels creditcards: e-commerce vreest boetes

Gepubliceerd op dinsdag 21 april 2015

Sinds 1 januari 2015 gelden nieuwe richtlijnen voor creditcard-transacties. Uit onderzoek van applicatiebeheerder Basefarm blijkt dat ruim 95 procent van de webwinkels hier niet van op de hoogte is. Webwinkels lopen kans op boetes tot 100.000 dollar per maand als hun veiligheid tekort schiet. Stichting WebwinkelKeur vindt dat boetes uitdelen een uiterste maatregel zou moeten zijn.

Creditcard-maatschappijen kunnen zware boetes opleggen aan webwinkels die creditcards gebruiken voor financiële transacties maar zich niet conformeren aan de nieuwe richtlijnen die de industrie per 1 januari 2015 heeft afgekondigd. De vijf grootste maatschappijen (Visa, Master Card, American Expres, JCB en Discover) hebben veiligheidsregels opgesteld waar bedrijven zich aan moeten houden. De vijf hebben daarvoor de PCI opgericht: Payment Card Industry Security Standards Council. Meer informatie is te vinden op https://www.pcisecuritystandards.org.

De nieuwste versie van de richtlijnen is de DSS 3.0 (Data Security Standard). Eind 2013 werd de DSS 3.0 al aangekondigd. Webwinkels werd ruim een jaar de tijd gegund om hun computersystemen aan te passen en klantgegevens te beveiligen. Ondernemers die hun zaakjes niet op orde hebben, lopen volgens de PCI kans op boetes van 5.000 tot 100.000 dollar per maand. De PCI adviseert bedrijven bij hun bank of systeembeheerder na te gaan of alle betaalsystemen aan de nieuwe eisen voldoen.

150 bedrijven gebeld

Onderzoek door ‘high end applicatiebeheerder' Basefarm laat zien dat webwinkels in Nederland niet of nauwelijks op de hoogte zijn van de nieuwe regels en dus ook niet van de kans op een flinke boete. Basefarm belde eind vorig jaar 150 bedrijven met de vraag of zij op de hoogte zijn van DSS 3.0 en al maatregelen hebben genomen. "Het resultaat was ook voor onszelf tamelijk schokkend", aldus Marcel Ravenhorst, Country Manager Basefarm Nederland.

Ravenhorst: "Bij het merendeel van de bedrijven was het onmogelijk om iemand te vinden die verantwoordelijk was voor implementatie van deze beveiligingsmaatregelen. Men had meestal geen idee waarover we belden en vaak trouwens ook geen enkele interesse. Voor Nederlandse vestigingen van buitenlandse bedrijven was de uitweg dat het zou vallen onder verantwoordelijkheid van het hoofdkantoor in het buitenland. Slechts vijf bedrijven begrepen waar we over belden en zeiden dat het al was geregeld."

De creditcard-maatschappijen prediken ondertussen veiligheid. Op zich geen vreemde gedachte. Uit een onderzoek van marktleider ICS (International Card Services) eind vorig jaar bleek dat maar liefst 40 procent van de online shoppers weleens tegen problemen is aangelopen, zoals late levering of zelfs non-levering omdat een webwinkel nep bleek te zijn.

Frederike Versloot, Manager Communicatie van ICS: "Er gaat bij online shoppen nog vaak iets mis. Zo bouwen fraudeurs complete webwinkels na die niet van echt te onderscheiden zijn. Dat is niet alleen kwalijk maar ook spijtig. Online shoppen is immers een ideale manier om eenvoudig producten en diensten aan te schaffen en het is vervelend dat fraudeurs de kans krijgen de consument te ontmoedigen. Bij ICS doen we er dus alles aan om fraudeurs geen kans te geven. Een consument kan er bovendien van uitgaan dat als hij kan betalen met Visa of MasterCard, de webshop vooraf uitgebreid is gescreend. Mocht hij onverhoopt toch zijn aankopen niet ontvangen, dan kan hij zich beroepen op de aflevergarantie: bij een niet-geleverde bestelling wordt het aankoopbedrag teruggestort."

Creditcard in de ban

Een belangrijk gegeven voor creditcard-maatschappijen is dat 40 procent van de kaarthouders in Nederland de creditcard juist niet bij online winkelen gebruikt omdat die als onveilig wordt ervaren. Het is voor de maatschappijen essentieel om de consument te overtuigen van de veiligheid van de creditcard èn de elektronische betaalsystemen die webwinkels gebruiken voor het afhandelen van transacties. Daar komt bij dat creditcard-maatschappijen een verzekering kennen voor internetfraude.

Als webwinkels voldoen aan de nieuwe veiligheidsstandaard van de PCI, kan de klant met een gerust hart gebruik maken van hun diensten. Dat betekent: een veilig netwerk met goede bescherming van klantgegevens en continu testen van deze veiligheid door monitoring van aanvallen op het systeem en continu updaten van de beveiliging. Immers: kwaadwillenden zijn soms erg creatief en bedenken steeds nieuwe trucs om beveilingssystemen te omzeilen.

En webwinkels die er een zooitje van maken? Boetes zijn vooralsnog niet uitgedeeld, meldt Wencke Fassbender, pr-adviseur van Basefarm. Wanneer dat gaat gebeuren is de vraag. Maar marktleider ICS is niet bereid verdere informatie te verstrekken. Marcel Landeweerd van stichting WebwinkelKeur wil dat wel, met name om de ruim 2.000 leden van zijn organisatie te attenderen op de nieuwe regels.

Landeweerd: "Ik denk dat het helemaal klopt dat er weinig weet is van deze nieuwe regels. Veel webwinkels accepteren in Nederland helemaal geen creditcards. Of ze doen dit wel, werken met een PSP en denken dat dat toereikend is. In de nieuwe standaard is ook een verantwoordelijkheid neergelegd bij webwinkels, ook als zij creditcard-betalingen accepteren via een PSP. Webwinkels moeten beveiligingsmaatregelen nemen en organisatieprocessen veilig inrichten."

Landeweerd vindt beboeten niet zo gek maar daar nu al mee dreigen is wel erg voorbarig. Landeweerd: "Creditcard-maatschappijen en webwinkels hebben een gemeenschappelijk doel: de consument veilig en vertrouwd online laten winkelen. Creditcard-maatschappijen en PSP's zouden webwinkels eerst goed moeten informeren over hun verantwoordelijkheden. Nu is het aanvragen van een creditcard-contract een formaliteit waarbij webwinkels onvoldoende worden geïnformeerd over hun plichten. Mijn voorstel? Als ze ook na een waarschuwing in gebreke blijven zou een boete een uiterste maatregel moeten zijn. Meteen beboeten werkt averechts. Ik kan me voorstellen dat het voor sommige webwinkels reden is om geen creditcard-betalingen aan te bieden. En dat lijkt me nu ook weer niet de bedoeling."