PSD2, singkatan dari Revised Payment Services Directive, adalah penggerak di balik pembayaran online yang aman, integrasi perbankan, dan proses pembayaran instan di seluruh Eropa.
Ini bukan sekadar regulasi. Ini adalah pergeseran yang membuka pintu bagi para pemain fintech, memperketat aturan keamanan, dan memastikan bank Anda bukan satu-satunya yang memegang kendali lagi.
Namun, selain memudahkan pengguna, PSD2 juga merupakan sistem yang sangat patuh bagi bisnis. Mulai dari mengamankan API hingga mengunci titik akhir, PSDXNUMX sangat ketat dalam hal perpindahan dan penempatan data.
Jadi, bagaimana gambaran lengkapnya? Mari kita uraikan.
Apa itu PSD2 dan mengapa itu penting?
PSD2 adalah undang-undang yang dibuat oleh Uni Eropa untuk membuat pembayaran online lebih aman dan memberi masyarakat lebih banyak kendali atas data perbankan mereka. Undang-undang ini mulai berlaku pada tahun 2018, menggantikan PSD asli yang telah ada sejak tahun 2007.
Ide utama di balik PSD2 sederhana:
- Jadikan pembayaran digital lebih aman
- Dorong lebih banyak kompetisi di bidang keuangan
- Beri pelanggan lebih banyak kontrol tentang siapa yang dapat mengakses informasi keuangan mereka
Sebelum PSD2, hanya bank yang dapat mengakses informasi pembayaran dan rekening Anda. Kini, dengan PSD2, Anda dapat mengizinkan aplikasi dan layanan lain, seperti alat penganggaran atau aplikasi pembayaran baru, untuk terhubung dengan aman ke rekening bank Anda. Ini memberi Anda lebih banyak pilihan dan akses ke fitur yang lebih baik atau biaya yang lebih rendah.
PSD1 vs PSD2: Apa yang membedakan PSD2 dengan PSD asli?
PSD yang asli diperkenalkan untuk menciptakan seperangkat aturan umum pembayaran di seluruh negara Uni Eropa. Ini merupakan langkah pertama untuk memperlancar pembayaran di kawasan tersebut.
Namun, laporan ini memiliki batasan. Laporan ini tidak mencakup jenis pembayaran digital baru dan tidak memperhitungkan seberapa cepat perkembangan fintech.
Berikut perubahan pada PSD2:
- Akses pihak ketigaBerdasarkan PSD2, bank harus mengizinkan penyedia pihak ketiga berlisensi (TPP) untuk mengakses data rekening nasabah dan memulai pembayaran, hanya dengan izin nasabah. Hal ini tidak dimungkinkan dalam PSD asli.
- Keamanan yang lebih kuatPSD2 memperkenalkan Otentikasi Pelanggan Kuat (Strong Customer Authentication/SCA). Ini berarti bisnis harus memverifikasi identitas pengguna menggunakan setidaknya dua metode, seperti kata sandi dan sidik jari. PSD asli tidak memiliki aturan ini.
- Cakupan lebih luasPSD2 mencakup transaksi yang melibatkan satu pihak di luar Uni Eropa (disebut pembayaran "one-leg-out"), terutama jika penyedia layanan berada di Uni Eropa. PSD tidak mencakup hal ini dengan benar.
- Lebih banyak hak pelanggan:PSD2 memberi pengguna lebih banyak kekuatan untuk menantang transaksi yang tidak sah dan meningkatkan aturan pengembalian dana.
Siapa saja yang perlu mematuhi PSD2?
Kepatuhan PSD2 berlaku untuk berbagai macam bisnis. Jika perusahaan Anda menangani pembayaran, data akun, atau transaksi keuangan apa pun di Uni Eropa atau dengan pelanggan yang berbasis di Uni Eropa, undang-undang ini kemungkinan besar berlaku untuk Anda.
Berikut rinciannya:
- Bank dan lembaga kreditInilah target utamanya. Kepatuhan PSD2 memaksa mereka untuk membuka sistem mereka (melalui API yang aman) kepada penyedia layanan lain, setelah pelanggan memberikan persetujuan.
- Penyedia Layanan Inisiasi Pembayaran (PISP)Ini adalah perusahaan yang memungkinkan pengguna melakukan pembayaran langsung dari rekening bank mereka, tanpa perlu menggunakan jaringan kartu. Bayangkan aplikasi yang memungkinkan Anda membayar langsung dari bank saat melakukan pembayaran.
- Penyedia Layanan Informasi Akun (AISP):Layanan ini mengumpulkan data rekening di beberapa bank dan menampilkannya di satu tempat, seperti aplikasi pelacakan uang atau penganggaran.
- Lembaga e-money dan startup FintechSetiap bisnis yang menawarkan dompet digital, kartu prabayar, atau perangkat serupa wajib mematuhi PSD2 jika beroperasi di Uni Eropa.
- Pedagang dan platform eCommerce:Jika Anda menerima pembayaran daring di UE, Anda harus mengikuti aturan seperti Autentikasi Pelanggan yang Kuat dan menangani data pelanggan dengan hati-hati.
- Penyedia pihak ketiga (TPP): Setiap perusahaan yang mengakses data bank atau memulai pembayaran atas nama pengguna termasuk dalam PSD2 dan harus terdaftar pada otoritas terkait di negaranya.
Intinya: Jika bisnis Anda terhubung ke, menggunakan, atau memproses data terkait perbankan dalam bentuk apa pun, PSD2 menetapkan aturan yang harus Anda ikuti.
Apa saja komponen utama PSD2?
Aturan-aturan tersebut dibuat berdasarkan keamanan, transparansi, dan kendali pelanggan.
Inilah yang dituntut PSD2:
1. Otentikasi Pelanggan yang Kuat (SCA)
Bisnis harus memverifikasi identitas pengguna menggunakan setidaknya dua dari tiga cara berikut:
- Pengetahuan - Sanxin – Sesuatu yang diketahui pengguna
(Contoh: Kata Sandi, PIN) - Milik – Sesuatu yang dimiliki pengguna
(Contoh: Telepon, perangkat token, kartu pintar) - Hal menjadi sifatnya – Sesuatu yang dimiliki pengguna
(Contoh: Sidik jari, pengenalan wajah)
Ini membantu memblokir penipuan selama pembayaran daring, login, atau akses akun.
2. API Perbankan Terbuka
Bank diwajibkan untuk membangun API yang aman yang memungkinkan penyedia pihak ketiga berlisensi untuk:
- Akses detail akun (dengan izin)
- Memulai pembayaran atas nama pengguna
Ini mematahkan monopoli yang dulu dimiliki bank dan membuat sistem lebih terbuka.
3. Persetujuan pelanggan yang jelas
Tidak ada data yang dapat dibagikan atau diakses tanpa izin eksplisit dari pengguna. Perusahaan juga harus mempermudah pembatalan izin tersebut kapan saja.
4. Transparansi dalam biaya dan transaksi
Bisnis harus menunjukkan dengan jelas:
- Berapa biaya pembayarannya?
- Biaya tambahan apa pun
- Pembaruan waktu nyata tentang status transaksi
Ini membantu pengguna menghindari biaya tersembunyi.
5. Pelaporan insiden dan pemantauan penipuan
Perusahaan harus memiliki sistem untuk:
- Deteksi aktivitas yang tidak biasa
- Laporkan masalah keamanan utama kepada regulator dalam waktu 24 jam.
Hal ini membuat regulator tetap mendapat informasi dan meningkatkan respons terhadap penipuan.
Persyaratan ini berlaku baik Anda bank, aplikasi, atau toko daring, selama Anda berurusan dengan pembayaran pelanggan atau data akun.
Bagaimana PSD2 memengaruhi privasi konsumen dan perlindungan data?
PSD2 memberi pengguna kontrol lebih besar atas siapa yang dapat mengakses data keuangan mereka dan bagaimana data tersebut digunakan. PSDXNUMX dirancang untuk melindungi informasi pribadi sekaligus memungkinkan inovasi dalam pembayaran dan perbankan.
Berikut cara PSD2 menangani privasi:
1. Persetujuan pengguna secara eksplisit adalah wajib
Tidak ada bisnis yang dapat mengakses data akun atau memulai pembayaran tanpa izin yang jelas dan langsung dari pengguna. Persetujuan harus berupa:
- Diberikan oleh pengguna (tidak diasumsikan)
- Mudah dimengerti
- Mudah untuk ditarik kapan saja
2. Hanya data yang diperlukan saja yang dapat dikumpulkan
Aplikasi dan layanan hanya dapat meminta informasi yang mereka butuhkan untuk menjalankan fungsinya. Misalnya, aplikasi pembayaran tidak dapat meminta riwayat transaksi lengkap Anda jika hanya membutuhkan nama dan nomor rekening Anda.
3. Tidak ada berbagi tersembunyi
Data yang dibagikan berdasarkan PSD2 tidak dapat dijual atau diteruskan ke perusahaan lain tanpa persetujuan pengguna lebih lanjut.
4. Tindakan Keamanan Data
Perusahaan harus mengikuti standar teknis dan keamanan yang ketat untuk melindungi data pelanggan. Ini termasuk enkripsi, kontrol akses, dan penyimpanan yang aman.
CATATAN: PSD2 tidak menimpa Peraturan Perlindungan Data Umum (GDPR); hal ini melengkapinya. Jadi, setiap perusahaan yang berada di bawah PSD2 juga harus memenuhi persyaratan privasi GDPR, memastikan data Anda ditangani secara bertanggung jawab.
Apa sanksi jika tidak mematuhi PSD2?
Sanksi bagi bisnis:
- Denda – Otoritas pengatur dapat mengenakan denda besar kepada perusahaan yang tidak mematuhi PSD2. Denda ini bervariasi tergantung pada tingkat keparahan pelanggaran dan negara, tetapi dalam beberapa kasus dapat mencapai jutaan euro.
- Penangguhan atau pencabutan lisensi – Bagi penyedia layanan pembayaran, fintech, atau bank, ketidakpatuhan dapat mengakibatkan penangguhan atau pencabutan izin operasional mereka. Ini berarti mereka tidak lagi diizinkan menyediakan layanan pembayaran di Uni Eropa.
- Kerusakan reputasi – Perusahaan yang ketahuan melanggar PSD2 berisiko kehilangan kepercayaan pelanggan. Jika pengguna merasa data atau uang mereka berisiko, mereka mungkin akan beralih ke alternatif yang lebih aman, yang dapat merugikan bisnis dalam jangka panjang.
- Tindakan hukum – Dalam kasus yang serius, perusahaan dapat menghadapi tuntutan hukum dari pelanggan atau bisnis lain yang terkena dampak karena kegagalan mereka mematuhi PSD2.
Sanksi karena gagal memenuhi persyaratan SCA:
- Transaksi tidak berhasilJika bisnis tidak menerapkan Autentikasi Pelanggan yang Kuat (SCA), transaksi dapat ditolak. Hal ini dapat mengakibatkan hilangnya penjualan atau peluang bisnis.
- Insiden keamanan: Terjadi pelanggaran akibat kelemahan keamanan endpointKurangnya SCA, atau perlindungan data yang tidak memadai dapat membuat perusahaan terkena denda tambahan dan memaksa mereka untuk memberikan kompensasi kepada pelanggan yang terkena dampak.
Di mana memulai kepatuhan PSD2: Keamanan titik akhir adalah yang utama
Sebelum membahas keamanan API atau alur kerja SCA secara mendalam, mulailah dengan hal-hal mendasar: Kelola titik akhir Anda.
Mengapa? Karena setiap interaksi pengguna dengan data keuangan, baik itu akses akun, persetujuan transaksi, atau integrasi aplikasi, terjadi di perangkat. Dan jika perangkat tersebut tidak aman, semuanya akan berantakan.
Berikut cara bisnis dapat membangun fondasi yang kuat untuk kepatuhan PSD2 melalui keamanan titik akhir:
1. Kontrol akses yang aman – Pastikan hanya pengguna terverifikasi yang dapat mengakses data keuangan dari perangkat apa pun. Terapkan autentikasi tingkat perangkat yang kuat dan blokir pengguna yang tidak tepercaya agar tidak dapat mengaksesnya.
2. Visibilitas dan kontrol jarak jauh – Pantau titik akhir secara real-time. Segera temukan akses tidak sah atau perilaku login yang tidak lazim. Jika perangkat hilang atau disusupi, admin dapat langsung menghapusnya.
3. Enkripsi semuanya – Baik itu data yang berpindah antara aplikasi dan bank atau permintaan masuk dari perangkat seluler, enkripsi seharusnya menjadi hal yang mutlak. Enkripsi menjaga informasi sensitif tetap aman selama pengiriman.
4. Waspada terhadap malware – Perangkat yang terinfeksi dapat membocorkan kata sandi secara diam-diam, mencegat kode keamanan, atau memalsukan transaksi. Perlindungan real-time dan pemindaian rutin dapat mencegah penyerang masuk.
5. Tetapkan batasan tingkat aplikasi dan pengguna – Tidak semua pengguna membutuhkan akses ke setiap aplikasi atau fitur. Batasi akses hanya pada yang dibutuhkan. Ini mengurangi risiko dan menjaga endpoint tetap ramping dan patuh.
Pesan terakhir
Bagi bisnis, mematuhi PSD2 merupakan peluang untuk membangun kepercayaan, menawarkan layanan yang lebih baik, dan tetap kompetitif di pasar yang terus berubah ini. Namun, kegagalan mematuhi peraturan ini dapat mengakibatkan denda yang signifikan, risiko hukum, dan kerusakan reputasi.
Ingat, keamanan titik akhir memainkan peran penting dalam kepatuhan PSD2. Bisnis harus memastikan bahwa perangkat yang mengakses data keuangan sensitif terlindungi dengan baik dan bahwa otentikasi pelanggan selalu memenuhi standar.
