Svindel, sikkerhed og GDPR ved kortbetaling: hvad skal en lille virksomhed gøre?

Den bedste beskyttelse mod kortsvindel for en lille virksomhed er at lade kortdata blive hos betalingsudbyderen, bruge stærk kundeautentifikation online, undgå manuel indtastning af kortnumre og holde øje med terminalen. Når du behandler betalingsoplysninger – fx kortholderens navn, de sidste cifre af kortnummeret eller transaktionshistorik – gælder databeskyttelsesforordningen (GDPR) og databeskyttelsesloven, og lov om betalinger §§ 124–125 indeholder særlige regler for behandling af betalingsoplysninger. Svindel koster både chargebacks, gebyrer og tid, og et sikkerhedsbrud kan udløse krav fra indløseren og en anmeldelsespligt til Datatilsynet.

Guiden hører til faldgruber og officielle kilder. Den er generel information; ved konkrete sikkerhedshændelser bør du få professionel hjælp.

Typiske former for svindel

Stærk kundeautentifikation

Lov om betalinger gennemfører betalingstjenestedirektivet (PSD2) (se § 128), og EU's tekniske standarder (forordning (EU) 2018/389) kræver stærk kundeautentifikation ved elektroniske betalinger – to af tre elementer: noget kunden ved (pinkode), har (telefon eller kort) eller er (fingeraftryk, ansigt). Der er undtagelser, fx for kontaktløse betalinger under visse beløb og antal og for visse online-betalinger af lav værdi. Det er i sidste ende kundens bank, der afgør, om en undtagelse anvendes.

For dig betyder det:

• I butikken: Chip og pinkode eller mobil betaling med biometri giver stærk autentifikation. Undgå manuel indtastning.
• Online: Din gateway skal understøtte 3-D Secure. En betaling med stærk kundeautentifikation giver typisk en bedre position ved indsigelser om svindel. Se chargebacks og indsigelser.

GDPR og betalingsoplysninger

Når du behandler oplysninger om kunder og deres betalinger, er det behandling af personoplysninger. Det betyder bl.a.:

• Behandlingsgrundlag: Behandling, der er nødvendig for at opfylde købsaftalen og bogføringsloven, har typisk et grundlag. Brug af betalingsdata til markedsføring kræver en selvstændig vurdering og ofte samtykke.
• Dataminimering: Gem kun det, du skal bruge. Gem aldrig fulde kortnumre eller kontrolcifre.
• Sikkerhed: Passende tekniske og organisatoriske foranstaltninger (GDPR artikel 32).
• Databehandleraftale: Din betalingsudbyder kan være selvstændig dataansvarlig for selve betalingen; din webshop- eller kassesystemleverandør er ofte databehandler. Afklar rollerne.
• Brud på sikkerheden: Skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer (artikel 33).

Lov om betalinger § 125 bestemmer, at GDPR og databeskyttelsesloven gælder for erhvervsdrivende, der behandler betalingsoplysninger, med særlige regler i stk. 2–6. Efter stk. 3 må du kun behandle betalingsoplysninger i forbindelse med gennemførelse eller korrektion af en betalingstransaktion, udbud af en tjeneste, der er direkte henvendt til brugeren (og så kun med brugerens udtrykkelige samtykke, stk. 2), eller anonymisering. Efter stk. 4 må betalingsoplysninger ikke bruges til at fastsætte individuelle priser eller vilkår for samme vare til forskellige kunder. Læs bestemmelsen og spørg en rådgiver, før du fx bruger kortdata til loyalitetsprogrammer eller kundeanalyser. Forbrugerombudsmanden fører tilsyn med §§ 124–125, og Datatilsynet med GDPR.

Sikkerhedsrutiner for en lille virksomhed

1. Kortdata bliver hos udbyderen: hostet betalingsside, tokens til faste betalinger.
2. Ingen kortnumre i e-mail, regneark, chat eller på papir.
3. Daglig kontrol af terminalen: tæl dem, se efter ændringer, opbevar dem sikkert efter lukketid.
4. Stærke adgangskoder og to-faktor-login til indløserens portal, webshop og kassesystem.
5. Opdatér software på terminal, kassesystem, webshop og plugins.
6. Uddan personalet i at genkende falske teknikere, phishing og mistænkelige ordrer.
7. Refusion kun til det oprindelige kort, aldrig til en anden konto.
8. Hav en plan for, hvad I gør ved mistanke om svindel eller brud.

Mange af punkterne er også krav i PCI DSS – se PCI DSS for små virksomheder.

Hvad svindel kan koste – illustrativt

En webshop modtager 5 svigagtige ordrer à 800 kr. i en måned. Ingen af dem er gennemført med stærk kundeautentifikation.

• Tilbageførte beløb: 5 × 800 = 4.000 kr.
• Chargeback-gebyr (illustrativt): 5 × 150 = 750 kr.
• Varer og fragt (illustrativt 450 kr. pr. ordre): 2.250 kr.
• Ingen indtægt af salgene, og udgifter på 750 + 2.250 = 3.000 kr.

Dertil kommer risikoen for, at indløseren indfører en reserve eller hæver satserne. Se udbetalingstid og likviditet.

Ofte stillede spørgsmål

Må jeg gemme kundens kortnummer til næste køb?

Kun via betalingsudbyderens tokenløsning. Gemmer du selv kortnumre, får du store PCI-krav og en betydelig risiko.

Skal jeg anmelde et svindelforsøg til politiet?

Ved konkrete svindelsager kan du anmelde til politiet. Kontakt også din indløser, som kan spærre kort og hjælpe med dokumentation.

Er det GDPR-behandling at se de sidste fire cifre på en kvittering?

Oplysninger, der kan knyttes til en person, er personoplysninger. Maskerede kortnumre på kvitteringer er normalt i orden, men opbevar dem sikkert og ikke længere end nødvendigt.

Hvem fører tilsyn med sikkerheden hos min betalingsudbyder?

Finanstilsynet fører tilsyn med pengeinstitutter og betalingsinstitutter med dansk tilladelse. Udbydere fra andre EU-lande er under tilsyn i hjemlandet.

Kilder

• Datatilsynet – GDPR, sikkerhed og anmeldelse af brud
• Retsinformation – lov om betalinger §§ 124–125 og databeskyttelsesloven
• Finanstilsynet – stærk kundeautentifikation og tilsyn med betalingsudbydere
• Forbrugerombudsmanden – tilsyn med reglerne om betalingsoplysninger
• Styrelsen for Samfundssikkerhed – råd om it-sikkerhed
• Politi – anmeldelse af svindel