La PSD2 in sintesi: tutto sulla nuova direttiva europea sui pagamenti digitali

Il 14 settembre 2020 è diventata attuativa la nuova direttiva europea sui servizi di pagamento, nota come PSD2, che prevede importanti novità all’interno del mercato finanziario europeo.

Novità che andremo ad approfondire in questo articolo, con una sintesi delle principali disposizioni della normativa PSD2, dei cambiamenti introdotti nel mondo dei pagamenti digitali, e delle nuove opportunità che tali cambiamenti offriranno all’intero ecosistema. Nel dettaglio:

• Cos'è la PSD2 e a chi si rivolge
• Entrata in vigore e proroghe
• Gli obiettivi della direttiva
• Cosa cambia con la PSD2, le principali novità introdotte:
  • Open API e Open Banking
  • Strong Customer Authentication
• Conclusione: un'opportunità per l'intero ecosistema

Cos’è la PSD2

La PSD2 (acronimo di Payment Service Directive) è la nuova direttiva sui servizi di pagamento, pubblicata in Gazzetta Ufficiale dell’Unione Europea il 25 novembre 2015 e resa attuativa, dopo un lungo periodo di recepimento da parte degli stati membri, il 14 settembre 2019.

Si tratta di una disposizione fortemente voluta dall’Unione Europea per porre le fondamenta giuridiche per un mercato unico dei pagamenti in tutta Europa e stabilire servizi di pagamento più sicuri e innovativi in tutta l'UE.

A chi si rivolge la PSD2

In un’ottica di armonizzazione massima, la direttiva europea PSD2 indirizza un’estensione del terreno di competizione dei pagamenti digitali, permettendo la nascita di servizi innovativi per l'accesso ai conti e favorendo la creazione di nuovi player, cosiddetti TPP (Third Party Payment Services Provider) che potranno competere, o meglio cooperare, con i player tradizionali (banche, poste, istituti di pagamento, istituti di moneta elettronica).

Come cambia lo scenario dei pagamenti innovativi con l'introduzione della PSD2?

PSD2: entrata in vigore e proroghe

La normativa PSD2 (di seguito il testo integrale del Regolamento) è entrata in vigore il 13 gennaio 2018, poco più di 10 anni dopo la prima Payment Service Directive (PSD1). Il regolatore ha poi disposto un periodo di 20 mesi concessi agli istituti di credito per adeguarsi alle nuove regole del gioco, individuando appunto il 14 settembre 2019 come la data di “go live”.

Non ci sono ad ora proroghe che permettano alle banche e ai prestatori di servizi di pagamento di ritardare l’entrata in vigore delle nuove regole. L’unica eccezione, prevista dalla European Banking Authority e dalla Banca d’Italia, riguarda l’attuazione delle Strong Customer Authentication (come vedremo una delle principali novità della direttiva) che potrà essere rimandata “in casi eccezionali” per “ridurre fortemente i rischi di disservizi nei pagamenti online con carta” agli operatori che ne facciano una esplicita richiesta motivata alla Banca d’Italia.

Perché una direttiva europea sui servizi di pagamento

L’obiettivo perseguito dal legislatore comunitario è quello di contribuire alla diffusione dei pagamenti elettronici lavorando su tre leve fondamentali:

• un mercato dei pagamenti europeo più integrato ed efficiente;
• condizioni di parità per i fornitori di servizi di pagamento;
• sicurezza delle transazioni e tutela dei consumatori.

Oltre alle dichiarazioni ufficiali, però, si legge tra le righe la volontà di regolamentare gli attori che già negli ultimi anni hanno cominciato a offrire servizi di pagamento online basati su conto corrente, creare un mercato più libero e competitivo e provare a scardinare un mercato statico e poco propenso all’introduzione di nuovi modelli di business.

La direttiva PSD2 sembra viaggiare più velocemente del business, costringendo gli attori bancari ad aprirsi e innovare.

Pagamenti e PSD2, cosa cambia: le principali novità

I cambiamenti più interessanti introdotti dalla normativa europea sono sostanzialmente due:

1. l’apertura a nuovi servizi (Account Information, Payment Initiation e Card Issuing) la relativa identificazione di nuovi attori (AISP, PISP e CISP) che potranno dialogare e interagire direttamente con i conti correnti dei cittadini europei (Open API);
2. la ridefinizione dei metodi di autenticazione legittimi per effettuare transazioni finanziarie (Strong Customer Authentication o Autenticazione Forte del Cliente).

Altre disposizioni prevedono, invece, l’abbassamento delle interchange fee (una componente delle commissioni che pagano i commercianti per accettare i pagamenti con carta) e la ridefinizione del perimetro giuridico all’interno del quale si possono offrire pagamenti tramite credito telefonico e tramite strumenti a spendibilità limitata (per esempio le carte petrolifere o altri strumenti che possono essere utilizzati solo in determinati contesti).

Vuoi conoscere chi sono i nuovi attori e servizi di pagamento abilitati dalla PSD2?

PSD2 e Open API

La principale novità introdotta dalla nuova normativa europea sui servizi di pagamento è dunque legata al fenomeno dell’Open Banking e delle Open API.

Più specificatamente, dal 14 settembre 2020 le banche sono obbligate a condividere tramite API (Application Programming Interface) alcune informazioni su conti e possibilità di disporre pagamenti dei propri correntisti con terze parti, solo, naturalmente, quelle autorizzate dal cliente stesso (in accordo con la normativa GDPR).

Si traduce così il cosiddetto "Open Banking" un nuovo paradigma per cui le informazioni e le transazioni finanziarie devono poter essere fruite dai clienti liberamente senza i vincoli che ad oggi sussistono.I servizi pensati dal regolatore sono fondamentalmente tre:

• il servizio di Account Information che permette al cliente di accedere al saldo dei propri conti correnti tramite applicazioni diverse da quelle bancarie;
• il servizio di Payment Initiation che permette al cliente di autorizzare un trasferimento di denaro senza l’uso di carte di credito tramite applicazioni e servizi che si appoggiano direttamente sul suo conto corrente;
• il servizio di Card Issuingche permette al cliente di utilizzare una carta di pagamento emessa da un attore diverso dalla propria banca e che, similmente al classico Bancomat, si appoggia direttamente sul suo conto corrente.

Si allarga dunque lo scenario competitivo e crescono le opportunità di collaborazione tra le banche e i nuovi attori abilitati dall’Open API, come startup, aziende Fintech e NewCo.

• Per approfondire: Cosa sono le Open API e come innoveranno il mondo dei pagamenti >>

PSD2 e Strong Customer Authentication

Oltre alla “liberalizzazione” e alla regolamentazione di questi nuovi servizi, la PSD2 pone una forte attenzione alla questione della sicurezza delle transazioni, in particolare di quelle online, per prevenire frodi.

Sono state introdotte infatti nuove regole per l’autenticazione forte del consumatore al momento del pagamento o Strong Customer Authentication (SCA). La SCA prevede che gli istituti finanziari verifichino almeno due di tre fattori dei propri clienti:

1. qualcosa che solo il cliente sa (password, PIN, etc.)
2. qualcosa che solo il cliente ha (smartphone, token bancario, etc.)
3. qualcosa che solo il cliente è (riconoscimento facciale, impronta digitale, etc.)

Il problema delle chiavette attuali è che generano un codice (l'OTP, one time password) che dura pochi secondi ma non esclude la possibilità di un utilizzo su altre operazioni. Con le nuove regole, invece, il codice "restituito" al cliente è legato solo e soltanto a quella determinata transazione, aumentando quindi ancora di più la sicurezza.

• Per approfondire: Strong Customer Authentication (SCA): cos'è e come funziona l'autenticazione forte >>

PSD2: un’opportunità per tutto l’ecosistema

Concludendo, l’ingresso di questa normativa è da considerarsi complessivamente positivo. Da un lato porterà probabilmente a una maggior competizione tra gli attori del mercato (entreranno nuovi player: dalle startup, ai merchant, agli OTT) che spingerà gli incumbent ad accelerare il processo di innovazione già avviato negli ultimi anni e, in alcuni casi, ad avviare partnership di valore per il cliente finale.

Dall’altro lato, i consumatori saranno ancor più protetti e preservati da truffe, seppur il processo di acquisto online con la strong customer authentication potrebbe, in una prima fase, veder peggiorare la user experience.

Vuoi approfondire come stanno evolvendo la PSD2 e le normative in ambito Payment?