Le 10 cose da sapere sulla PSD2

É la Direttiva europea 2015/2366 sui servizi di pagamento nel mercato interno entrata in vigore il 13 gennaio 2016 (abro­gando la Direttiva 2007/64/CE - PSD) e recepita dal Parlamento italiano l’11 dicembre 2017.

Le principali finalità della Direttiva sono contrastare le frodi e accrescere la fiducia dei consumatori nei pagamenti digitali modernizzando il quadro normativo che regola i servizi digitali innovativi.

La PSD2 si rivolge a tutti i fornitori di servizi di pagamento: banche, assicurazioni e c.d. Terze parti (Third Party Providers -TPP) ovvero prestatori di servizi di pagamento diversi da quelli presso i quali sono radicati i conti degli utenti.

Rientrano nell’ambito di applicazione della normativa le operazioni effettuate tramite:

• canali remoti (es. bonifici, ricariche telefoniche);
• carte di credito, di debito e prepagate;
• POS.

La PSD2 introduce importanti novità quali:

• obblighi di trasparenza: vengono rafforzati i diritti dei consumatori e la trasparenza in relazione agli obblighi di informazione, esecuzione e condizioni economiche;
• ampliamento di ambito: l’ambito di applicazione della normativa viene esteso a tutte le aree geografiche e a tutte le divise;
• nuove misure di sicurezza: viene introdotta l’autenticazione forte del cliente (Strong Customer Authentication - SCA) per accedere ai conti, disporre ordini di pagamento sui canali on line e per effettuare operazioni che implichino rischi di abuso o frode;
• accesso ai conti on line tramite TPP: viene prevista la possibilità di accedere alle informazioni relative al proprio conto corrente e alle transazioni effettuate nonché di disporre ordini di pagamento attraverso terze parti.

L’accesso ai servizi delle Terze parti potrà avvenire solo previo consenso esplicito da parte dell’utente, rilasciato loro e notificato alla Banca di radicamento del conto. Per permettere ad un utente l’utilizzo dei servizi erogati dalle Terze parti, la banca presso cui detiene un conto online dovrà fornire l’accesso:

• tramite un canale dedicato (c.d. Application Programming Interface - API) oppure
• consentendo alla Terza parte l’accesso diretto agli stessi canali online della Banca utilizzati dal Cliente.

A partire dal 14 settembre 2019 i prestatori di servizi di pagamento hanno aderito a nuove regole di sicurezza per l’accesso dei conti on line e per l’autorizzazione dei pagamenti.

Per l’accesso dei conti on line sarà richiesta l’Autenticazione forte del cliente che garantisce una maggiore sicurezza dell’utente ed è basata su almeno due fattori appartenenti alle seguenti categorie:

• conoscenza: ossia qualcosa che solo l’utente conosce (es. password statica, codice, numero identificativo personale);
• possesso: ossia qualcosa che solo l’utente possiede (es. token, telefono cellulare);
• inerenza: ossia qualcosa che l’utente è (es. caratteristiche biometriche, come un’impronta digitale).

I fattori devono essere reciprocamente indipendenti, cioè la violazione di uno non compromette l’altro. Inoltre almeno uno degli elementi dovrebbe essere non riutilizzabile e non replicabile e non trafugabile via Internet. La procedura di autenticazione deve essere progettata in modo tale da proteggere la riservatezza dei dati di autenticazione.

La SCA si applica per:

• l’accesso al conto on line;
• la presentazione di una disposizione di pagamento elettronico;
• l’esecuzione di qualsiasi azione, tramite un canale a distanza, che può comportare un rischio di frode nei pagamenti o altri abusi.

Il cliente ha la possibilità di disconoscere operazioni non autorizzate entro 13 mesi dall’addebito delle stesse sul conto corrente. Il rimborso dell’importo disconosciuto dovrà essere effettuato entro la giornata lavorativa successiva a quella in cui è stata fatta la richiesta. La Banca non è tenuta al rimborso solo nel caso in cui vi sia un motivato sospetto di frode da parte del cliente.

Per questa tipologia di reclami le tempistiche per la gestione dei reclami scritti si riducono da 30 giorni solari a 15 giorni lavorativi.

Sono le operazioni di pagamento, in tutte le valute, in cui anche uno solo dei prestatori di servizi è situato nell’Unione Europea.