De storting die zonder bankapp doorging
Een speler stuurde me een schermafbeelding waar hij oprecht verbaasd over was: zijn vijftiende storting van die maand bij een F1+ operator was zonder enige 3DS-prompt doorgegaan. Geen biometrie, geen melding op zijn bankapp, niets. Hij vroeg of zijn account was gehackt, want hij was gewoon te authenticatiestappen geconditioneerd dat de afwezigheid hem onrustig maakte. Ik moest hem geruststellen: dat was geen fout, geen hack, en ook geen versoepeling van de regels. Het was een SCA-uitzondering die in het Visa-protocol netjes was geactiveerd.
Het bestaan van die uitzonderingen is voor wie regelmatig stort op een Belgische F1+ bookmaker een onderwerp dat het verstaan loont. Niet om ze te omzeilen — dat kan je als speler sowieso niet sturen — maar om te begrijpen wanneer een storting versneld doorgaat, en wanneer een vragenlijst op je bankapp opdoemt. Daaronder zit de hele PSD2-architectuur die in september tweeduizend negentien voor de hele Europese Economische Ruimte sterke klantauthenticatie verplicht heeft gemaakt, met een uitrolfase die uiteindelijk tot veertien maart tweeduizend tweeëntwintig liep.
De PSD2-architectuur in volle context
Sterke klantauthenticatie betekent dat een online betaling moet steunen op twee van drie onafhankelijke factoren: kennis (een wachtwoord of pincode), bezit (een specifiek toestel zoals een telefoon met de bankapp), of inherentie (biometrie zoals vingerafdruk of gezichtsherkenning). De combinatie biometrie plus bezit van het ingelogde toestel is de meest voorkomende in België. De combinatie kennis plus bezit komt voor bij niet-biometrische bevestigingsstromen.
De wetgever heeft uitzonderingen voorzien op deze regel om de zogenaamde wrijving in de keten beheersbaar te houden. Zonder uitzonderingen zou elke kleine herhalende betaling — denk aan een streamingabonnement of een gewone aankoop bij een vertrouwde handelaar — een bevestigingsstap vragen, en dat zou de digitale betaaleconomie aanzienlijk vertragen. De uitzonderingen zijn dus geen achterdeurtje, maar een geijkt onderdeel van het ontwerp.
Voor F1+ operatoren in België is de standaardregel echter strenger dan voor gewone handelaren. De Belgische regulator heeft via de Kansspelcommissie en in samenwerking met de Nationale Bank van België aangedrongen op een conservatieve toepassing van de uitzonderingen voor gokstortingen, omdat die transacties qua risicoprofiel — leeftijdscontrole, EPIS-controle, antiwitwasverplichtingen — gevoeliger liggen. Het resultaat is dat een aantal van de uitzonderingen op papier wel bestaan, maar in de praktijk bij F1+ stortingen zelden worden geactiveerd.
De vijf uitzonderingen die de PSD2-tekst voorziet
De Regulatory Technical Standards onder PSD2 noemen vijf categorieën van uitzonderingen waar sterke klantauthenticatie kan worden weggelaten. Niet alle vijf zijn voor F1+ operatoren even relevant, maar het loont om ze allemaal te kennen om te begrijpen wat je in de praktijk wel of niet zal zien.
De eerste is de low value transaction. Voor onlinebetalingen onder dertig euro per transactie kan de uitgevende bank de SCA overslaan, op voorwaarde dat het cumulatieve bedrag van uitgezonderde betalingen sinds de laatste sterke authenticatie onder honderd euro of vijf transacties blijft. Voor F1+ stortingen is deze uitzondering theoretisch toepasbaar, maar de meeste Belgische uitgevende banken passen ze conservatief toe omdat gokrelevante MCC-codes (zevenduizend negenhonderd vijfennegentig en zevenduizend achthonderd een) intern als hoger risicoprofiel zijn geclassificeerd.
De tweede is de trusted beneficiary. Een kaarthouder kan bij zijn bank een handelaar als “vertrouwd” markeren, waarna toekomstige betalingen aan diezelfde handelaar zonder 3DS-stap kunnen passeren. Voor F1+ operatoren zijn de meeste Belgische banken niet bereid om deze functie te activeren — ofwel omdat de bank gokrelevante handelaren standaard van het programma uitsluit, ofwel omdat de kaarthouder op een interne risicocategorie staat. Het is technisch beschikbaar maar in de Belgische gokpraktijk vrijwel niet operationeel.
De derde is recurring transactions met identiek bedrag. Denk hier aan een vast abonnement van tien euro per maand bij dezelfde handelaar. Dat patroon past niet op gokstortingen, die per definitie variabele bedragen hebben.
De vierde is corporate payments via dedicated payment processes met aanvullende veiligheidsgaranties. Niet relevant voor individuele spelers — F1+ operatoren accepteren in elk geval geen zakelijke kaarten voor persoonlijke gokactiviteit, ongeacht SCA-status.
De vijfde is transaction risk analysis (TRA). De uitgevende bank en de betaalprocessor mogen samen, op basis van fraudestatistieken, beslissen om SCA over te slaan voor transacties die statistisch laag risico vertonen. Dit is in de praktijk de enige uitzondering die je als F1+ speler regelmatig zal ervaren — en het verklaart precies de situatie van mijn opbeller in de inleiding van deze gids.
Hoe Transaction Risk Analysis voor jou werkt
De TRA-uitzondering werkt op basis van een real-time risicoscore die de bank en de processor samen berekenen. Factoren die de score gunstig kleuren zijn: geografische consistentie (storting vanuit België naar een Belgische F1+ operator), apparaatconsistentie (zelfde telefoon en browser als bij vorige stortingen), bedragconsistentie (dichtbij je gemiddelde stortingsgrootte), tijdsconsistentie (uur van de dag en weekdag passen bij je patroon), en transactiehistoriek (geen recente fraudegevallen op de kaart of bij de operator).
Wanneer al die factoren positief uitvallen en de cumulatieve fraudequota van de bank en de processor onder de PSD2-drempels blijven — die zijn dynamisch en variëren tussen tweeëntwintig honderdste en duizend honderdste basispunten afhankelijk van het transactiebedrag — kan de bank beslissen om SCA over te slaan. Voor jou voelt dat aan als een silente storting: je drukt op bevestigen, het geld is op je account, geen biometrie of OTP gevraagd.
Het belangrijkste detail dat veel spelers niet beseffen, is dat deze beslissing volledig in handen van de bank ligt — niet van de F1+ operator en niet van Visa zelf. De operator vraagt voor elke storting een 3DS-flow aan; het is de bank die kan beslissen om die “frictionless” af te handelen op basis van TRA. Dat verklaart waarom dezelfde operator bij dezelfde speler de ene week een prompt activeert en de andere week niet.
Wat dit betekent voor risico en aansprakelijkheid
Een vraag die in elk gesprek over SCA-uitzonderingen vroeg of laat opduikt is wat er gebeurt met de aansprakelijkheid voor fraude wanneer 3DS is overgeslagen. De PSD2-regels zijn hier verrassend duidelijk: bij een TRA-uitzondering blijft de aansprakelijkheid voor fraude bij de uitgevende bank, op voorwaarde dat de bank correct binnen de PSD2-fraudequota werkt. Voor de kaarthouder betekent dat dat een uitzonderingsbetaling niet meer of minder beschermd is dan een 3DS-betaling.
Voor de F1+ operator ligt de balans iets complexer. De zogenaamde liability shift die normaal naar de uitgevende bank gaat zodra 3DS is voltooid, geldt anders bij een TRA-uitzondering. Bij een fraudemelding na TRA-storting blijft de operator een gedeelde verantwoordelijkheid dragen, wat verklaart waarom de meeste F1+ operatoren conservatief blijven in welke uitzonderingen ze toelaten en in welke ze de bank vragen om alsnog SCA te activeren.
Tom De Clercq, voorzitter van BAGO, heeft in publieke uitspraken meermaals gewezen op de spanning tussen consumentengemak en sectorrisico’s. In een statement bij gelegenheid van een nieuwe duty of care formuleerde hij het scherp: “As a sector, we feel a clear responsibility.” Die verantwoordelijkheid uit zich onder andere in een meer terughoudende toepassing van TRA-uitzonderingen door F1+ operatoren dan technisch volgens PSD2 mogelijk zou zijn — een keuze die de gemiddelde stortingen iets minder vlot maakt, maar het frauderisico structureel laag houdt.
Hoe je dit als speler interpreteert in de praktijk
Voor wie regelmatig stort op een F1+ operator in België is het belangrijk om SCA-uitzonderingen niet als versoepeling van de regels te lezen. De wettelijke verplichtingen rond leeftijd, EPIS, KYC en weeklimieten gelden onverminderd, ongeacht of je storting met of zonder biometrie passeert. Een storting zonder 3DS-prompt is gewoon een snelheidskeuze van je bank op basis van risicoanalyse, en betekent niets over je accountstatus.
Wat het wel betekent: je bank vertrouwt jouw patroon zo sterk dat ze in real-time heeft beslist om de wrijving weg te nemen. Dat is in zekere zin een complimenteus signaal, en het toont dat je transacties consistent zijn. Het tegenovergestelde — een onverwachte 3DS-prompt of zelfs een weigering — kan een teken zijn van gewijzigde risicofactoren: een nieuwe locatie, een nieuwe browser, een hoger dan gewoonlijk bedrag, of een trigger op de fraudequota van je bank.
De praktische conclusie is simpel: vertrouw het 3DS-systeem zoals het verschijnt of wegblijft, en laat de uitzonderingen geen reden zijn om te schrikken of om te denken dat je iets bijzonders aan het doen bent. Wel is het nuttig om te weten waar de grenzen liggen, vooral wanneer een storting plots wel een bevestigingsstap vraagt terwijl de vorige negen niet. Vaak is dat een teken dat je een nadere blik op de afwijzingsoorzaken bij een F1+ operator nodig hebt om te begrijpen wat er onder de motorkap is veranderd.
