Betaltjänster och PSD2-reglering: Juridisk Grund för Betaltjänstleverantörer

VARNING: Detta är en AI-instruktionsfil, inte juridisk rådgivning. Vid specifika juridiska problem bör du konsultera en kvalificerad jurist som är medlem i Sveriges Advokatsamfund.

Syfte

Denna kunskapsfil ger en djupgående genomgång av juridiken kring betaltjänster i Sverige, med fokus på:

• Förstå Lagen om betaltjänster (2010:751) och dess implementering av EU:s PSD2-direktiv
• Identifiera vilka typer av betaltjänster som kräver licens från Finansinspektionen
• Navigera licensieringsprocessen och tillståndskrav för betaltjänstleverantörer
• Förstå Stark Kundautentisering (SCA) och säkerhetskrav enligt PSD2
• Hantera Open Banking och PSD2 API-rättigheter för tredjepartsleverantörer
• Tillämpa konsumenträttsligt skydd och ansvarsfördelning vid obehöriga transaktioner
• Förbereda sig för PSD3-overgången och kommande ändringar
• Hantera samsplet med GDPR, penningtvättslag (2017:630) och annan finansiell reglering
• Förstå FI:s tillsyn, rapporteringskrav och sanktionsavgifter

Denna färdighet är särskilt värdefull för jurister som arbetar med fintech-bolag, banker, betalningsinstitut, e-handlare, och finansiella regelverk.

Förutsättningar

Innan du använder denna kunskapsfil, bör du ha följande information tillgänglig:

1. Typ av verksamhet – Vilken typ av betaltjänster som avses (t.ex. kortbetalningar, banköverföringar, e-pengar, kontoaggregering)
2. Affärsmodell – Hur tjänsten ska generera intäkter (transaktionsavgifter, abonnemang, etc.)
3. Målmarknad – Svenska och/eller europeiska kunder (B2C, B2B, eller båda)
4. Volymbedömning – Förväntad transaktionsvolym (för att avgöra om undantag för små utövare är möjligt)
5. Teknisk arkitektur – Hur autentisering, API-kopplingar och datalagring ska lösas
6. Finansiell bakgrund – Om befintliga bankrelationer eller licensiering finns
7. Kompetens – Om det finns erfaren personal inom betaltjänster och compliance
8. Specifika frågeställningar – Exakta juridiska problem som behöver lösas

Instruktioner

1. Identifiera relevant betaltjänstkategori

Börja med att klassificera vilken typ av betaltjänst som avses enligt Lagen om betaltjänster (2010:751) 1 kap. 3 §:

Licenspliktiga betaltjänster:

• Kontotjänster – Insättningskonton som möjliggör insättning och uttag av pengar
• Kortbetalningar – Utfärdande av betalkort och acquisering av korttransaktioner
• Överföring av medel – Inklusive kreditöverföringar, direktdebiteringar, elektroniska betalningar
• Kontoinformationstjänster (AIS) – Aggregering av kontoinformation online (PSD2)
• Betalningsinitieringstjänster (PIS) – Initiering av betalningar på uppdrag av användare (PSD2)

E-pengar (omfattas av särskild reglering):

• E-pengar enligt Lagen om utgivning av e-pengar (2011:755)

Undantagna tjänster (ingen licens):

• Betalningar inom samma företagsgrupp (internt)
• Betalningar enligt ett avtal där betalning sker direkt till säljaren (limited network)
• Mycket små transaktioner (< 50 EUR per transaktion, < 300 000 EUR årligen)
• Handel med varor eller tjänster (tillhandahållande av kredit är inte betaltjänst)

Kontrollera Finansinspektionens vägledning:

• Se FI:s "Vägledning om betaltjänster och betalningsinstitut"
• Verifiera om den planerade verksamheten faller under licenskrav eller undantag

2. Bedöm om licenskrav gäller

Betalningsinstitut vs. Credit Institution:

• Betalningsinstitut – Kräver tillstånd enligt 2 kap. Lagen om betaltjänster
• Bank (kreditinstitut) – Kräver banktillstånd enligt Lagen om bank- och finansieringsrörelse (2004:297)
• E-pengainstitut – Kräver tillstånd enligt Lagen om utgivning av e-pengar

Tröskelvärden för registrering (istället för full licens): Enligt 2 kap. 14 § Lagen om betaltjänster kan mindre betaltjänstleverantörer registreras istället för att kräva fullständigt tillstånd om:

• Genomsnittligt månatligt transaktionsvärde < 3 000 000 EUR
• Genomsnittligt månatligt antal betalningstransaktioner < 3 miljoner
• Endast vissa tjänster erbjuds (inte kontoaggregering)

Undantag för små utövare (Article 32 PSD2):

• < 50 EUR per transaktion
• Årligt transaktionsvärde < 300 000 EUR
• Ingen licens krävs, men vissa registreringskrav kan gälla

Utländska betaltjänstleverantörer:

• Etablerade i annat EES-land: Passöverföring av tillstånd (giltigt i hela EES)
• Etablerade utanför EES: Kräver svenskt tillstånd eller rätt att etablera grenkontor

3. Förstå licensieringsprocessen

Tillståndsansökan till Finansinspektionen:

1. Ansökningshandlingar (2 kap. 5-12 §§):

   • Fullständiga uppgifter om sökanden (företagsform, ägare, styrelse)
   • Affärsplan som beskriver betaltjänsterna
   • Riskanalys och riskhanteringsrutiner
   • Organisatorisk struktur och beskrivning av intern kontroll
   • System för intern revision och compliance
   • Säkerhetsarrangemang för drift och säkerhet
   • Skyddsåtgärder för att skydda användarnas medel
   • Beskrivning av åtgärder för att upptäcka, förhindra och rapportera bedrägeriförsök
   • Uppgift om vem som är ansvarig för ledningen av den externa revisorn
   • Vid e-pengar: Beskrivning av utgivningsaktivitet, återbetalning, och garantifond

2. Kapitalkrav (2 kap. 3 §):

   • Betalningsinstitut: 20 000–125 000 EUR beroende på tjänstetyp
   • E-pengainstitut: 20 000–350 000 EUR beroende på utestående e-pengar
   • Registrerade betaltjänstleverantörer: 50 000 SEK i eget kapital

3. Tillståndshavarens skyldigheter (3 kap.):

   • Anmäl ändringar i verksamheten till FI
   • Anmäl nya ägare som ska särskilt prövas
   • Anmäl nya ledamöter och vd
   • Anmäl ändringar i bolagsordning, ägarförhållanden, eller verksamhetens omfattning

4. Implementera Stark Kundautentisering (SCA)

SCA-krav enligt PSD2 (Artikel 4, definition 30 och Artikel 97):

SCA innebär autentisering baserad på minst två av följande tre element:

• Kunskap: Något användaren vet (lösenord, PIN-kod)
• Innehav: Något användare har (mobil, kort, token)
• Erkännande: Något som är unikt för användaren (fingeravtryck, ansiktsigenkänning)

SCA gäller vid:

• Tillgång till betalkonton online
• Initiering av elektroniska betalningstransaktioner
• Åtgärder via fjärrkommunikation som kan innebära bedrägeririsk

Undantag från SCA:

• Transaktioner < 30 EUR (eller 50 EUR vissa länder) och kumulativ gräns < 100 EUR eller 5 transaktioner
• Vita listade betalningsmottagare (tronsted beneficiaries)
• Betalningar till säkra betalningsmottagare (SCA on file of trusted beneficiaries)
• Löpande transaktioner med samma mottagare (recurring payments)
• Riskbaserade undantag (transaktionsriskanalys visar låg risk)
• Kontobaserade transaktioner inom samma betaltjänstleverantör (SCHU)
• Kontaktförsäljning (MOTO)

Teknisk implementering:

• Använd 3D Secure 2.0 för kortbetalningar
• Implementera SCA i bank- och konto-API:er (OBIE, Berlin Group, STET)
• Säkerställ dynamisk länkning av autentiseringskod till transaktionsbelopp och mottagare
• Hantera exemptions och fallback-scenarier (t.ex. om SCA misslyckas)

5. Förstå Open Banking och PSD2 API-krav

PSD2 API-krav för betalningsinstitut och banker:

Tillhandahållande av API:er (XSparkling OBRead API eller liknande):

• Kontoinformationstjänster (AIS): API för att hämta kontosaldon, transaktioner, kontoinformation
• Betalningsinitieringstjänster (PIS): API för att initiera betalningar från användares konto
• Bekräftelse av tillgänglighet av medel (Funds Confirmation): API för att verifiera täckning på konto

Tekniska standarder:

• Berlin Group PSD2 API Framework (rekommenderad standard)
• UK Open Banking Standard (OBRead)
• STET (French standard)
• Nationella varianter (Swedish BankID API för Swedish API for Payment Initiation)

API-tillgång via licensierade tredjepartsleverantörer (TPPs):

• Banker och betalningsinstitut måste tillhandahålla API:er till licensierade AIS- och PIS-leverantörer
• Obdrigatoriskt att tillhandahålla sandbox-miljö för testning
• Regler för e-identifikation och PSD2-licensiering av TPP:s (EU EIDAS)

Konsumenträttigheter vid Open Banking:

• Rätt att återkalla åtkomst till konto när som helst
• Rätt att få information om vad TPP har tillgång till
• Rätt att få data raderad (överlapp med GDPR)

6. Förstå konsumenträttsligt skydd och ansvarsfördelning

Obehöriga transaktioner (6 kap. Lagen om betaltjänster):

Användarens rättigheter vid obehörig transaktion:

• Rätt att få obehörig transaktion återbetald om användaren inte har agerat grovt vårdslöst
• Rätt att få hjälp av betaltjänstleverantören att stoppa obehöriga transaktioner
• Skyldighet att snarast anmäla obehörig transaktion till betaltjänstleverantören

Betalningsanvändarens ansvar:

• Inget ansvar om autentiseringsverktyg (t.ex. kort, BankID) har använts utanför användarens kontroll
• Max 1 500 SEK om autentiseringsverktyg har använts med vårdslöshet (före SCA)
• Hela beloppet om användaren handlat grovt vårdslöst eller med uppsåt att lura

Betalningsleverantörens ansvar:

• Bevisbörda ligger på leverantören att visa att transaktionen var auktoriserad
• Skyldighet att utreda och återbetala obehöriga transaktioner snarast (senast inom 13 månader)
• Skyldighet att informera användaren om deras rättigheter vid obehöriga transaktioner

Transaktioner som inte har genomförts eller felaktigt genomförda:

• Användaren har rätt att få återbetalning eller rättelse
• Leverantören ska utreda och svara inom skälig tid (ofta 15 bankdagar)
• Om utredning tar mer än 1 bankdag, ska leverantören provisoriskt kreditera användaren

Force Majeure:

• Betalningsleverantören ansvarar inte om tekniskt fel hos tredje man gör att transaktion inte genomförs

7. Hantera säkring av medel och förbrukning

Säkring av användares medel (4 kap. 19-21 §§):

Betalningsinstitut och e-pengainstitut måste skydda användares medel:

Säkringsmetoder:

1. Separatkonto hos kreditinstitut – Medel placeras på konto separat från institutets egna medel
2. Försäkring eller garanti – Medel täcks av försäkring från kreditinstitut eller försäkringsbolag
3. Tillgångar med låg risk – Medel placeras i likvida tillgångar med låg risk

För e-pengainstitut:

• Samma krav, men med minst 2% av utestående e-pengar i eget kapital
• Garantifond om säkring inte uppfylls (5 kap. 11-13 §§ Lagen om utgivning av e-pengar)

Återbetalning vid betalningsinstituts konkurs:

• Säkrade medel ska återbetalas till användare
• Om separatkonto används, ska medel föras över till annat institut
• Om försäkring/garanti används, ska användare ersättas via garantin

8. Implementera GDPR och penningtvättslag

GDPR-samspel (2018:25):

Personuppgiftsbiträdesavtal (DPA):

• Betaltjänster som hanterar användardata för bankers räkning är personuppgiftsbiträden
• Kräver skriftliga avtal enligt GDPR Art. 28
• Tydlig ansvarsfördelning för dataskydd och incidenthantering

Rättslig grund för behandling:

• Avtal (Art. 6.1.b): Utförande av betaltjänstavtal
• Rättslig förpliktelse (Art. 6.1.c): Penningtvättslag, bokföringslag, etc.
• Berättigat intresse (Art. 6.1.f): Bedrägeribekämpning, riskhantering

Dataminimering och lagringsminimering:

• Endast nödvändig data får samlas in (SCA-data, transaktionsdata)
• Rätt att radera konto och historik (om inte lagkrav föreligger, t.ex. bokföringslagen)
• Right to data portability (överlappar med Open Banking)

Incidenthantering och anmälan:

• Dataintrång ska anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar om hög risk
• Användare ska informeras vid hög risk för deras rättigheter och friheter

Penningtvättslag (2017:630) samspel:

Betalningsinstitut är rapporteringsskyldiga enligt penningtvättslagen:

Kundkännedom (KYC):

• Identitetskontroll av kunder vid inledning av kundförhållande
• Förenklad kundkännedom vid låg risk
• Förstärkt kundkännedom vid hög risk (politiskt utsatta personer, högriskländer)

Rapporteringsskyldiga åtgärder:

• Misstänkta transaktioner kopplade till penningtvätt eller finansiering av terrorism ska rapporteras till Financial Intelligence Unit (FIU)
• Sekretess gäller för rapporter – får inte avslöjas för kund eller tredje man
• Interna rutiner och utbildning krävs

Sanktionsavgifter:

• Böter för brott mot penningtvättslag kan uppgå till 10% av omsättningen

9. Förstå FI:s tillsyn och rapporteringskrav

Tillsynsavgifter (Lag (2009:293) om tillsynsavgifter till Finansinspektionen):

Avgift baserad på:

• Typ av tillstånd (betalningsinstitut, e-pengainstitut, bank)
• Storlek på verksamheten (balansomslutning, avgiftsbärande verksamhet)
• Uppskattad tillsynsinsats

Rapporteringsskyldigheter (3 kap. 13-16 §§):

• Årlig rapportering om finansiell ställning (konsoliderad och på koncernnivå)
• Delårsrapportering (för större institut)
• Rapportering av incidenter och avvikelser
• Rapportering av ägarförändringar, förändringar i ledning, etc.
• Statistikrapportering till FI och ECB (för större betalningsinstitut)

Särskilda händelser:

• Väsentliga avvikelser från riskhanteringsprinciper ska anmälas snarast
• Tekniska incidenter som påverkar betaltjänster ska anmälas
• Förändringar som påverkar FI:s tidigare beslut ska anmälas

Sanktioner:

• FI kan utfärda förelägganden, föreläggande med vite, eller återkalla tillstånd
• Sanktionsavgift kan påföras för brott mot lagen (6 kap.)
• Förbud att utöva verksamheten kan beslutas vid allvarliga överträdelser

10. Förbered för PSD3 och kommande ändringar

PSD3 (Proposed Directive COM(2023) 403):

EU-kommissionen föreslog PSD3 den 28 juni 2023 med förväntad ikraftträde 2025-2026:

Nya krav i PSD3:

• Förbättrad SCA: Mer detaljerad vägledning och flexibilitet
• Öppna bank-API:er: Utökade krav på API-tillgång och förbättrad standardisering
• Säkerhet och bedrägeribekämpning: Nya krav på fraud monitoring
• Konkurrens: Förbättringar för att främja konkurrens mellan banker och fintechs
• Konsumenträttigheter: Utökade rättigheter och förbättrat skydd

PSR (Payment Services Regulation) – förordning parallellt med PSD3:

• Direkt gällande i alla medlemsstater (ingen nationell implementering)
• Nya krav på payment service providers
• Strengthened supervisory powers

** vad som förväntas ändras i Sverige:**

• Lagen om betaltjänster kommer att uppdateras för att implementera PSD3
• Finansinspektionen kommer att utfärda nya föreskrifter
• API-standarder kan komma att ändras eller förtydligas
• Nya licensieringskrav kan införas för vissa tjänster

Beredskapsåtgärder:

• Följ EU-kommissionens förslag och förhandlingar
• Delta i FI:s remissvar och samråd
• Utvärdera nuvarande compliance mot PSD3-förslaget
• Planera för tekniska anpassningar (API-uppdateringar, SCA-förbättringar)

Juridisk Referens

Svensk lagstiftning:

1. Lagen (2010:751) om betaltjänster – Huvudlag för betaltjänster, implementerar PSD1 och PSD2

   • 1 kap. Definitioner och tillämplighet
   • 2 kap. Tillstånd och registrering
   • 3 kap. Skyldigheter för tillståndshavare
   • 4 kap. Förbud och villkor för utövande
   • 5 kap. Överlåtelse av betalningsinstitut
   • 6 kap. Betalningsanvändares rättigheter vid obehöriga transaktioner
   • 7-9 kap. Dispenser, tillsyn, sanktioner

2. Lagen (2011:755) om utgivning av e-pengar – Reglering av e-pengainstitut

   • Implementerar EU:s E-money Directive 2 (2009/110/EG)
   • Parallella krav till betaltjänstlagen men med specifika e-pengar-regler

3. Lag (2009:293) om tillsynsavgifter till Finansinspektionen – Avgifter för tillsyn

   • Avgiftsstruktur för betaltjänstleverantörer

4. Penningtvättslag (2017:630) – AML-krav för betaltjänster

5. Bokföringslag (1999:1078) – Bokföring och arkivering av betalningsdokument

6. GDPR (2018:25) – Dataskyddslagen, samspel med betaltjänster

EU-rätt:

1. PSD2 – Directive (EU) 2015/2366 – Payment Services Directive 2

   • Artikel 4 (definitioner): Stark kundautentisering, betaltjänst, etc.
   • Artikel 6-8 (licensiering): Tillstånd för betaltjänstleverantörer
   • Artikel 32 (undantag för små utövare)
   • Artikel 66-68 (konsumenträttigheter)
   • Artikel 97 (SCA-krav)
   • Artikel 98 (säkerhetsåtgärder)
   • Bilaga I (lista över betaltjänster)

2. PSD3 – Proposed Directive COM(2023) 403 (ej antagen än, förväntad 2025-2026)

3. PSR – Proposed Regulation COM(2023) 404 (parallell med PSD3)

4. E-money Directive 2 – Directive 2009/110/EC

5. GDPR – Regulation (EU) 2016/679 – Dataskyddsförordningen

6. EIDAS – Regulation (EU) No 910/2014 – Elektronisk identifiering och betrodda tjänster

Myndighetsvägledning:

• Finansinspektionen (FI):

  • Vägledning om betaltjänster och betalningsinstitut (FFFS 2017:11)
  • Vägledning om utgivning av e-pengar och e-pengainstitut
  • Föreskrifter och allmänna råd om betaltjänster (FFFS 2014:3, ändrad FFFS 2017:11)
  • Allmänna råd (2016:1) om bedrägeribekämpning och intern styrning
  • Allmänna råd (2015:2) om IT- och informationssäkerhet

• European Banking Authority (EBA):

  • EBA Guidelines on Security of Internet Payments (2014)
  • EBA Opinion on PSD2 SCA and CSC (2017)
  • EBA Guidelines on authorisation and supervision of payment institutions and e-money institutions (2021)

• Swedish Bankers' Association:

  • Swedish API for Payment Initiation (standardiserad API-specifikation)
  • Implementeringsvägledning för PSD2

Rättspraxis:

Svenska prejudikat är begränsade men relevanta fall inkluderar:

• NJA 2020 s. 589 – Obehöriga transaktioner och bevisbörda (motivering)
• NJA 2019 s. 321 – Användarens ansvar vid vårdslöshet med autentiseringsverktyg
• Ålands tingsrätt, mål B 1-19/20 – Konsumenträtt vid kortbedrägeri och SCA

EU-rättspraxis (CJEU):

• C-348/21 AB treasured token, Inc v. Swedbank – Omfattning av SCA vid kortbetalningar
• C-673/20 Amberjet UK Ltd v. Revolut – Obehöriga transaktioner och bankens bevisbörda

Nordisk rätt:

• Norska Finanstilsynet: Veiledning om betalingstjenester og PSD2
• Danska Finanstilsynet: Betalingstjenester og PSD2 – Vejledning
• Finska Finansinspektionen: Ohjeistus maksupalveluista

Vanliga Misstag

1. Förväxla betaltjänst med finansiering – Att tillhandahålla kredit eller finansiering är inte en betaltjänst och faller under andra regler (kreditkonsumentlag, konsumentkreditlag)

2. Ignorera "limited network"-undantaget – Många e-handlare tror att de är betaltjänstleverantörer när de egentligen faller under undantaget för betalningar som görs direkt till säljaren

3. Missbedöma volymtrösklar – Att starta en betaltjänst utan att förstå att man snabbt kan överskrida tröskeln för "små utövare" och kräva full licens

4. Implementera SCA felaktigt – Att använda statisk 2FA istället för dynamisk SCA (t.ex. SMS-kod som inte är länkad till transaktionen)

5. Glömma återbetalningsskyldighet – Att inte veta att betalningsleverantören har strikt ansvar för att återbetala obehöriga transaktioner

6. Förbise PSD3-beredskap – Att bygga system som inte är redo för PSD3:s förväntade ändringar (kan bli dyrt att anpassa senare)

7. Missa GDPR-samspel – Att tro att betaltjänster är undantagna från GDPR, när de faktiskt har strikta krav på personuppgiftshantering

8. Försumma penningtvättskrav – Små betaltjänstleverantörer glömmer ofta att de är rapporteringsskyldiga enligt penningtvättslagen

9. Ej separera användarmedel – Att blanda användares medel med bolagets egna medel (strider mot 4 kap. 19-21 §§)

10. Förbise utländska licenskrav – Att tro att ett svenskt tillstånd räcker för att erbjuda betaltjänster i andra EU-länder (kan kräva notifikation eller passöverföring)

Viktiga Gränser

Exempeldialoger

Exempel 1: Bedöma om en betalningslösning kräver licens

Användare: Jag vill bygga en app där användare kan samla alla sina bankkonton och se saldon och transaktioner från olika banker. Jag tänker använda bankernas API:er. Behöver jag licens?

Assistent: Det du beskriver låter som en kontoinformationstjänst (AIS) enligt PSD2 och Lagen om betaltjänster (2010:751). Detta är en licenspliktig betaltjänst.

Du behöver ansöka om tillstånd som betaltjänstleverantör hos Finansinspektionen om du:

• Hämtar kontoinformation från banker på användarens uppdrag
• Tillhandahåller tjänsten mot betalning (även indirekt via intäkter från tredje man)

Steg att ta:

1. Bedöm om du faller under undantag för små utövare (Artikel 32 PSD2): Om din genomsnittliga månatliga transaktionsvolym < 3 000 000 EUR och du hanterar < 3 miljoner transaktioner per månad, kan du registreras istället för att kräva fullständigt tillstånd.
2. Ansök om tillstånd hos FI (2 kap. 5-12 §§) med affärsplan, riskanalys, säkerhetsarrangemang, etc.
3. Implementera Open Banking API:er enligt banker och Finansinspektionens krav (Berlin Group standard eller Swedbank/Handelsbanken API)
4. Uppfyll kapitalkrav på minst 20 000 EUR för AIS-tjänst (2 kap. 3 §)

Undantag: Om du endast bygger en intern tool för ditt företag där anställda kan se sina företagskonton, kan det falla under undantaget för "betalningar inom samma företagsgrupp" (internt) och inte kräva licens. Vill du att jag ska hjälpa dig bedöma om du faller under något undantag?

Exempel 2: Obehörig transaktion och återbetalning

Användare: Någon stal mitt BankID och gjorde en betalning på 15 000 kr från mitt konto. Banken säger att det är mitt fel för att jag klickade på en länk i ett phishing-mail. De vill inte återbetala. Vad gäller?

Assistent: Det finns juridiska regler om detta i Lagen om betaltjänster kap. 6, men det beror på om bedragaren använde ditt BankID eller bara kom åt ditt konto.

Scenario 1: Bedragaren använde ditt BankID (autentiseringsverktyg)

• Om BankID användes med din PIN-kod eller biometrik (fingeravtryck/ansikte), bedöms det som att autentiseringsverktyget användes med din vårdslöshet (om du klickade på phishing-länk och godkände BankID).
• Ditt ansvar är då begränsat till max 1 500 SEK enligt 6 kap. 5 § första stycket 2.
• Banken ska återbetala resterande 13 500 SEK.

Scenario 2: Bedragaren kom åt ditt konto utan att använda BankID

• Om bedragaren loggade in på din internetbank via stulet lösenord men inte använde BankID för att godkänna betalningen, har du inget ansvar (6 kap. 5 § första stycket 1).
• Banken ska återbetala hela 15 000 SEK.

Bevisbörda (6 kap. 6 §): Banken måste bevisa att transaktionen var auktoriserad. Om de inte kan visa det, gäller din rätt till återbetalning.

Återbetalningstid: Banken ska utreda och återbetala senast inom 13 månader (6 kap. 6 §). I praktiken ska det gå mycket snabbare – ofta inom några veckor.

Rekommendation: Om banken vägrar återbetala enligt ovan, hänvisa dem till 6 kap. 5-6 §§ Lagen om betaltjänster och begär en skriftlig motivering med hänvisning till lagrummet. Du kan också vända dig till Allmänna Reklamationsnämnden (ARN) eller Konsumenternas Bank- och finansbyrå för hjälp.

Exempel 3: PSD2 API för e-handel

Användare: Jag driver en e-handel och vill implementera "BankID-betalning" där kunder kan betala direkt från sitt bankkonto utan kort. Vilka API:er ska jag använda och krävs det licens?

Assistent: Det du beskriver kallas betalningsinitieringstjänst (PIS) enligt PSD2. Det kräver licens om du initierar betalningar på användarens uppdrag.

Dina alternativ:

Alt 1: Använd en existerande PIS-leverantör (ingen licens krävs för dig)

• Använd tjänster som Trustly, Skrill, Swish (via betalväxel), Nets, etc.
• Dessa har redan PIS-licens och du integrerar bara deras API.
• Du får betalningbekräftelse via deras system och slipper licenskrav.

Alt 2: Bygg egen PIS-licensierad tjänst (kräver licens)

• Ansök om tillstånd hos Finansinspektionen som betaltjänstleverantör (PIS).
• Implementera SCA (Stark Kundautentisering) med BankID eller liknande e-legitimation.
• Använd Swedish API for Payment Initiation (eller Berlin Group standard) för att kommunicera med banker.
• Kapitalkrav: minst 50 000 EUR (källa: 2 kap. 3 §) för PIS-tjänst.

API-standarder:

• Swedbank/Handelsbanken: Swedish API for Payment Initiation (JSON REST)
• Nordea/SEB: PSD2 API (OBWriteFile)
• Övriga banker: BankGIRO-betalning eller Swish (via betalväxel)

Rekommendation: För e-handel är Alt 1 att föredra – använd en etablerad PIS-leverantör. Det är enklare, billigare, och du slipper licenshantering. Swish via betalväxel (t.ex. Payex, Adyen) är det populäraste i Sverige.

Vill du att jag ska hjälpa dig jämföra olika PIS-leverantörer och deras avgifter?