Open banking i Norge: samtykke, betalingsregler og dine rettigheter

Hva er open banking?

Open banking handler om at du som bankkunde kan la andre aktører enn banken håndtere betalinger fra kontoen din, og for betalingstransaksjoner anses en betaling som godkjent bare dersom du har gitt samtykke, slik det følger av finansavtaleloven § 4-2.

Siden tredjeparten får tilgang til følsomme økonomiske opplysninger eller kan flytte penger, er tilgangen knyttet til regler om samtykke, kundeautentisering, tilsyn og ansvar.

De norske reglene om betalingstjenester står i lov om finansavtaler, finansavtaleloven, som du finner i Lovdata. Er kunden forbruker, gjelder reglene i kapittel 3 til 6 for alle tjenesteytere, med mindre noe annet er særskilt bestemt, ifølge finansavtaleloven.

Er kunden ikke forbruker, gjelder reglene i kapittel 3 til 6 bare for tjenester som krever særskilt tillatelse eller meldeplikt etter finansforetaksloven, og for formidling av slike tjenester, opplyser finansavtaleloven. Kapittel 4 inneholder reglene om samtykke, fullmakter og gjennomføring av betalinger, og de omtales under.

Loven viser i § 4-3 til forordning (EU) nr. 2018/389 om sterk kundeautentisering. Etter finansavtaleloven § 4-3 gjelder reglene om direktebelastningsfullmakt bare så langt noe annet ikke følger av forordning (EU) nr. 2018/389 om sterk kundeautentisering eller av regler nevnt i § 1-11 for direktebelastninger i euro.

For deg som kunde betyr dette at du har et sett lovfestede rettigheter overfor banken og andre betalingstjenesteytere. For en utvikler betyr det at tjenesten må bygges slik at den respekterer disse rettighetene, uansett hvor smart den tekniske løsningen er.

Kontoinformasjon og betalingsinitiering

I open banking er det to hovedtyper tjenester. En kontoinformasjonstjeneste henter og samler opplysninger fra kontoer du har, for eksempel for å vise saldo og transaksjoner fra flere banker i én app. En betalingsinitieringstjeneste setter i gang en betaling fra kontoen din etter at du har godkjent den.

Når en betaling settes i gang via en annen enn deg selv, gjelder fortsatt det grunnleggende kravet om samtykke. Etter finansavtaleloven § 4-2 kan samtykke til en betalingstransaksjon også gis via betalingsmottakeren eller en betalingsfullmektig.

Etter finansavtaleloven § 4-6 kan banken som hovedregel ikke nekte å gjennomføre et godkjent betalingsoppdrag når alle vilkårene i kontoavtalen er oppfylt. Det gjelder ifølge finansavtaleloven § 4-6 uavhengig av om oppdraget er iverksatt av betaleren, av en betalingsfullmektig eller av mottakeren.

Hvem kan tilby tjenestene og hvordan føres tilsyn

Hvilke foretak som har tillatelse, og hvilke krav som stilles til registrering eller konsesjon, er ikke bekreftet i kildegrunnlaget. Kunden bør derfor selv undersøke dette hos Finanstilsynet før en tjeneste tas i bruk.

Spør tilbyderen hvilken tillatelse den har, og kontroller svaret hos tilsynsmyndigheten i stedet for å stole på markedsføring. Et selskap som ber om bankopplysningene dine uten å kunne dokumentere tillatelse, bør du la være å bruke.

Vær også oppmerksom på at nettsider kan se profesjonelle ut uten å ha noen tillatelse. Et pent design og lovnader om enkel oversikt er ingen garanti for at tjenesten er lovlig eller trygg.

Samtykke: hva du sier ja til

Etter finansavtaleloven § 4-2 anses en betalingstransaksjon som godkjent bare dersom betaleren har gitt samtykke. Samtykket skal gis i den formen og på den måten som er avtalt mellom betaleren og betalingstjenesteyteren, og skal som hovedregel gis før transaksjonen gjennomføres.

Du kan trekke samtykket tilbake når som helst før utløpet av fristene for å kansellere betalingsoppdraget etter § 4-7, opplyser § 4-2. Når samtykket gjelder en serie betalinger, må du være ekstra nøye med hva som er avtalt.

Ved direktebelastningsfullmakt skal fullmakten ifølge finansavtaleloven § 4-3 gis skriftlig og klart angi betalingsmottakeren, kontoen som kan belastes, beløpsgrensen for samlet belastning og tidspunktene eller tidsperioden grensen gjelder for. Banken skal sørge for at belastninger opphører eller endringer gjennomføres senest virkedagen etter at meldingen om tilbakekall ble mottatt.

For faste betalingsoppdrag stilles de samme kravene til tydelighet, opplyser finansavtaleloven § 4-4. Det du godkjenner, skal altså være avgrenset i mottaker, konto og beløp.

Samtykke etter betalingsreglene er ikke det samme som samtykke til personvernbehandling. Nav beskriver i en veiledning at et gyldig samtykke etter personvernforordningen artikkel 4 nr. 11 ikke kan være for vidt eller for generelt. Kravene brukes der i en annen sammenheng, men de viser hva et gyldig samtykke innebærer.

Finansavtaleloven § 4-3 viser til forordning (EU) nr. 2018/389 om sterk kundeautentisering ved direktebelastninger i euro.

Praktisk gjelder noen grunnregler: del aldri bankpassord eller engangskoder med en tjeneste, og godkjenn bare i bankens egen innloggingsløsning. Et selskap som ber deg skrive inn bankbrukernavn og passord i sitt eget skjema, er et varselsignal.

Les alltid beløp og mottaker i bankens godkjenningsbilde før du bekrefter.

Mer om svindelmetoder og hvordan du kjenner dem igjen finner du i artikkelen Svindel på nett i Norge. Om innloggingsmetoder generelt, se biometrisk autentisering.

Personvern og Datatilsynet

Kontoopplysninger er personopplysninger, og personvernreglene gjelder for tredjeparten som behandler dem. Eksempler på rettigheter overfor den som behandler opplysninger om deg er rett til innsyn i hvilke opplysninger som er registrert, og rett til å få korrigert feil, slik det beskrives i Folkehelseinstituttets personverninformasjon.

Nav beskriver at informasjon om utlevering av opplysninger skal komme klart og tydelig fram i samtykket eller informasjonsskrivet.

Dataminimering er et sentralt prinsipp: den som ber om data, må kunne forklare hvorfor alle opplysningene er nødvendige, slik Nav krever av forskere som ber om utlevering, med henvisning til personvernforordningen artikkel 5 nr. 1 bokstav c i Navs veiledning. Som kunde kan du bruke samme tankegang: spør hvorfor en tjeneste trenger tilgang til alle kontoene dine eller til lang historikk.

Hvis personvernerklæringen er uklar, er det grunn til å la være å gi samtykke.

Hvordan du krever innsyn i praksis, er forklart i artikkelen om GDPR-rettigheter. Mener du at opplysningene dine behandles ulovlig, kan du klage til Datatilsynet.

Ansvar ved feil og avvisning

Beløpsgrenser og frister for uautoriserte betalinger er ikke bekreftet i kildegrunnlaget, og er derfor ikke oppgitt her. Kontakt banken raskt hvis du oppdager en betaling du ikke har godkjent.

En betaling er bare godkjent når du har gitt samtykke, opplyser finansavtaleloven § 4-2. Nekter banken å gjennomføre en betaling, skal den ifølge § 4-6 straks varsle deg, oppgi begrunnelsen og fortelle hvordan faktiske feil kan rettes.

Kontoen din skal heller ikke belastes før betalingsoppdraget er mottatt, opplyser § 4-5.

Når en tjenesteyter avslår en forespørsel om en finansiell ytelse, skal du umiddelbart få skriftlig beskjed om avslaget og begrunnelsen, med opplysninger om klageadgang og tvisteløsning etter § 3-54, opplyser finansavtaleloven. Det samme gjelder hvis tjenesteyteren ikke erkjenner fullt ansvar for feil eller misbruk. Ta vare på meldinger, kvitteringer og skjermbilder, slik at du kan dokumentere hva som skjedde.

For utviklere: krav og rammer

Utviklere som bygger tjenester på bankdata må regne med at kundens samtykke er selve grunnlaget. Etter finansavtaleloven § 4-2 kan samtykke til en betalingstransaksjon trekkes tilbake før fristene for kansellering, og etter § 4-3 skal en direktebelastningsfullmakt klart og entydig angi mottaker, konto, beløpsgrense og tidsrom.

Banken kan ifølge § 4-1 ikke uten saklig grunn avslå å yte betalingstjenester på vanlige vilkår.

Bygg grensesnittet slik at brukeren ser nøyaktig hva som deles, og slik at det er enkelt å trekke samtykket tilbake. Om betalingsapper og løsninger i markedet, se Norske betalingsapper.

Fra samtykke til gjennomført betaling: slik behandles et oppdrag

Når samtykket er gitt, gjelder det regler i finansavtaleloven for hvordan et betalingsoppdrag behandles. Etter finansavtaleloven § 4-5 skal betalerens konto ikke belastes før betalingsoppdraget er mottatt. På virkedager regnes oppdraget som mottatt når det leveres til eller registreres hos betalerens betalingstjenesteyter, mens oppdrag som kommer inn på en dag som ikke er virkedag, anses mottatt første påfølgende virkedag. Banken kan også fastsette at oppdrag som kommer inn for sent på dagen, regnes som mottatt neste virkedag.

Har du bedt om at en betaling skal skje på et bestemt tidspunkt, gjelder en egen regel. Er det avtalt at oppdraget skal gjennomføres på en bestemt dag eller ved utløpet av en bestemt periode, anses det ifølge § 4-5 mottatt på den avtalte dagen hvis dette er en virkedag, ellers den påfølgende virkedagen. For den som bruker en betalingstjeneste via en tredjepart, betyr det at en betaling som startes en lørdag, ikke nødvendigvis belaster kontoen før mandag.

Banken kan som hovedregel ikke nekte å gjennomføre en betaling du har godkjent når vilkårene i kontoavtalen er oppfylt, opplyser finansavtaleloven § 4-6. Regelen gjelder uavhengig av om oppdraget er iverksatt av betaleren selv, av en betalingsfullmektig, av betalingsmottakeren eller gjennom betalingsmottakeren, slik det står i § 4-6.

Nekter banken likevel å gjennomføre en betaling, skal du varsles. Ifølge § 4-6 skal varselet gis straks på avtalt måte, og senest innen fristen for godskriving av mottakerens konto. Det skal oppgi begrunnelsen for nektelsen og hvordan eventuelle faktiske feil som ledet til den, kan rettes. Et oppdrag som er nektet utført, regnes ifølge finansavtaleloven § 4-6 ikke som mottatt etter reglene om godskriving av mottakerens konto og reglene om betalingstjenesteyterens ansvar for manglende, mangelfull eller forsinket gjennomføring.

Praktisk betyr dette at det er verdt å lese avvisningsvarselet nøye før du prøver på nytt. Er begrunnelsen en faktisk feil du kan rette, er det ofte nok å korrigere og sende oppdraget på nytt. Mener du at banken har avvist en betaling som oppfylte alle vilkårene i kontoavtalen, kan du be banken om en forklaring og vurdere å klage.

Faste trekk, fullmakter og faste oppdrag

Ikke alle betalinger er engangstransaksjoner. Noen tjenester trenger å belaste kontoen din gjentatte ganger, og da stiller finansavtaleloven egne krav til hvordan tillatelsen utformes. Slike ordninger er et eget spor ved siden av enkeltbetalinger, og det er lurt å kjenne forskjellen før du godkjenner noe som varer over tid.

Etter finansavtaleloven § 4-3 kan en betaler gi en betalingsmottaker fullmakt til å iverksette en serie direktebelastninger på kontoen. Fullmakten skal gis i et skriftlig dokument, og den skal klart og entydig angi betalingsmottakeren, kontoen som kan belastes og beløpsgrensen for samlet belastning. Den skal også angi tidspunktene eller tidsperioden som beløpsgrensen gjelder for, og betalerens samtykke til transaksjonene. En fullmakt som mangler slike opplysninger, oppfyller ikke lovens krav.

Betaleren skal varsle sin betalingstjenesteyter skriftlig om fullmakten. Etter finansavtaleloven § 4-3 skal banken før hver direktebelastning kontrollere at skriftlig melding om fullmakten er mottatt, og at kontoen belastes i samsvar med fullmakten.

Fullmakten kan trekkes tilbake. Ifølge § 4-3 fjerde ledd kan betaleren når som helst trekke tilbake samtykke til transaksjoner som ikke er iverksatt, eller gjøre andre endringer i fullmakten. Tilbakekallet eller endringene meldes skriftlig eller på avtalt måte til banken, og banken skal sørge for at belastningene opphører eller endringene gjennomføres senest virkedagen etter at meldingen ble mottatt. Meld derfor fra til banken i god tid før et trekk du vil stoppe, og ikke bare til den som trekker.

Et fast betalingsoppdrag er regulert i egen paragraf med tilsvarende krav til innhold som en direktebelastningsfullmakt. Etter finansavtaleloven § 4-4 skal et fast betalingsoppdrag klart og entydig angi betalingsmottakeren, kontoen som kan belastes, beløpsgrensen for samlet belastning, tidspunktene eller tidsperioden for grensen og betalerens samtykke. Når du setter opp slike oppdrag, er beløpsgrensen og tidsperioden det viktigste å kontrollere, fordi de setter taket for hva som kan trekkes.

Praktiske råd før du gir tilgang til bankdata

Før du gir en tredjepart tilgang, er det lurt å gå gjennom noen enkle kontroller.

Sjekk hvem som står bak tjenesten, og hvilken tillatelse den har hos Finanstilsynet. Les hva samtykket faktisk dekker: hvilke kontoer, hvilke opplysninger og hvor lenge. Godkjenn bare i bankens egen innloggingsløsning.

Noter hvilke tjenester du har gitt tilgang, og gå gjennom listen jevnlig. Trekk tilbake samtykker du ikke bruker lenger.

Ved mistanke om misbruk bør du varsle banken straks, be om opplysninger om hva som er gjennomført, og sikre kontoen. Får du avslag eller erkjenner ikke tjenesteyteren ansvar, skal du få beskjed om klageadgang, jf. finansavtaleloven.

• Kontroller hvilken tillatelse tilbyderen har hos tilsynsmyndigheten.
• Les samtykket: hvilke data, hvilke kontoer, hvor lenge.
• Logg inn kun i bankens egen løsning.
• Sett beløpsgrenser der løsningen tillater det.
• Gå jevnlig gjennom aktive samtykker.
• Trekk tilbake samtykker du ikke bruker.
• Kontakt banken straks ved mistanke om misbruk.
• Bruk klageadgangen hvis du ikke får medhold.