Bij het invullen van een online betalingsformulier kom je een veld “MM/AA” tegen, en de twijfel slaat toe: moet je eerst de maand invoeren, dan het jaar, met of zonder schuine streep? Dit veld correspondeert met de vervaldatum van je creditcard, afgedrukt aan de voorkant of achterkant, afhankelijk van het model. Twee cijfers voor de maand, twee cijfers voor het jaar. Een invoerfout en de transactie wordt geweigerd, soms zonder duidelijke boodschap.
Betaling geweigerd vanwege het formaat MM/AA: het probleem bij de bron begrijpen
Het meest voorkomende scenario is een online aankoop die wordt geblokkeerd terwijl het saldo voldoende is en de kaart in de winkel werkt. In de meeste gevallen komt het probleem voort uit verwarring tussen het formaat MM/AA en het formaat MM/AAAA. Sommige sites vragen het jaar in twee cijfers (25 voor 2025), andere in vier cijfers (2025). “2025” invullen in een veld dat “25” verwacht, leidt tot een onmiddellijke afwijzing.
We komen ook de Engelstalige variant MM/YY (month/year) tegen, die exact dezelfde gegevens aanduidt. Op internationale platforms verandert de benaming, maar het principe blijft hetzelfde: maand eerst, jaar tweede.
De vraag wat is MM AA op een creditcard komt vaak terug: deze tekens verwijzen naar de maand en het jaar van de vervaldatum, gegraveerd of afgedrukt op de kaart, die het betalingssysteem controleert voordat het enige afstandstransactie toestaat.
Vervaldatum creditcard: een persoonlijk gegeven dat onder de AVG valt
We denken zelden na over de juridische status van deze datum. De vervaldatum maakt echter deel uit van de bankgegevens die als persoonsgegevens worden beschouwd in de zin van artikel 4(1) van de AVG, net als het kaartnummer (PAN) en de visuele cryptogram (CVV).
De directe consequentie raakt de webwinkels. Bij default kan een e-commercebedrijf de MM/AA niet onbeperkt bewaren. Elke bewaring na de transactie (bijvoorbeeld om een latere aankoop te vergemakkelijken) moet steunen op een duidelijke, gedocumenteerde juridische basis, en beperkt zijn tot de geldigheidsduur van de kaart.
In de praktijk registreren veel sites deze gegevens om terugkerende aankopen te vereenvoudigen. Als je je kaart van een klantaccount verwijdert, is de verkoper verplicht deze informatie te wissen.
CVV, kaartnummer en MM/AA: het trio dat de online betaling beveiligt
Bij een afstandsaankoop worden drie elementen systematisch gevraagd: het 16-cijferige nummer, de vervaldatum (MM/AA), en het visuele cryptogram (CVV of CVC, drie cijfers op de achterkant van de kaart). Elk speelt een aparte rol.
- Het kaartnummer (PAN) identificeert de rekening en het netwerk (Visa, Mastercard). De eerste cijfers geven de uitgever aan, de volgende de rekening van de houder, en de laatste dient als controlegetal via het Luhn-algoritme.
- De MM/AA controleert of de kaart niet is verlopen. Een kaart waarvan de datum is verstreken, wordt door het systeem afgewezen, zelfs als de bijbehorende rekening nog steeds actief is.
- De CVV bewijst dat de persoon die betaalt de kaart fysiek in handen heeft, aangezien deze code niet is opgeslagen in de magnetische strip of in de chip.
Zonder een van deze drie elementen mislukt de betaling. De vervaldatum is geen eenvoudig administratief detail: het is een integraal onderdeel van het authenticatiemechanisme.
Verlopen kaart en terugkerende betalingen: abonnementen om in de gaten te houden
Wanneer een kaart verloopt, stoppen automatische incasso’s (streaming, verzekering, internetbox) niet altijd vanzelf. Sommige betalingsdienstverleners profiteren van een automatisch update-mechanisme dat door Visa en Mastercard wordt aangeboden, dat de nieuwe gegevens van de vervangende kaart naar de verkoper doorstuurt.
Dit systeem is handig, maar creëert een grijs gebied. Je kunt blijven worden afgeschreven door een dienst waarvan je dacht dat deze was opgezegd door de kaart te laten verlopen. Een kaart laten verlopen beëindigt geen abonnement. Om een incasso te stoppen, moet je rechtstreeks bij de betreffende dienst opzeggen of een blokkade via de bank aanvragen.
Wat betreft de veiligheid hebben onderzoekers aangetoond dat verlopen Visa-kaarten nog steeds konden worden gebruikt voor contactloze betalingen in bepaalde configuraties. Dit soort kwetsbaarheid blijft marginaal, maar herinnert eraan dat de vervaldatum alleen geen absolute barrière tegen fraude vormt.
PCI DSS-norm en bescherming van de MM/AA: wat er is veranderd in 2025
De MM/AA valt direct onder de eisen van de PCI DSS-norm, de wereldwijde referentie voor de beveiliging van creditcardgegevens. Versie 4.0.1, waarvan de eisen in 2025 verplicht zijn geworden, versterkt de controles op de opslag en overdracht van alle kaartgegevens, inclusief de vervaldatum.
Voor verkopers en betalingsdienstverleners betekent dit specifieke technische verplichtingen:
- De versleuteling van kaartgegevens in transit en in rust, inclusief de MM/AA
- De strikte beperking van de toegang tot opgeslagen gegevens tot alleen bevoegde personen
- Regelmatige audits om te controleren of de systemen aan deze eisen voldoen
Een site die je vervaldatum in platte tekst in een onbeveiligde database opslaat, loopt het risico op sancties en, vooral, op massale datalekken. Verschillende grote online winkels hebben in het verleden dit soort inbreuken meegemaakt, waarbij miljoenen kaartnummers met hun vervaldatums zijn blootgesteld.
De volgende keer dat je het veld MM/AA invult, controleer dan of de site het HTTPS-slotje weergeeft en of het zijn PCI DSS-conformiteit vermeldt in de algemene voorwaarden. Een onveilige betalingsformulier zou nooit je vervaldatum moeten ontvangen, noch enige andere kaartgegevens.
