PSD2, acronimo di Revised Payment Services Directive (Direttiva riveduta sui servizi di pagamento), è il motore che sta alla base dei pagamenti online sicuri, delle integrazioni bancarie e dei pagamenti istantanei in tutta Europa.
Non si tratta solo di una regolamentazione. È un cambiamento che ha aperto le porte agli operatori fintech, ha inasprito le norme di sicurezza e ha fatto sì che la tua banca non fosse più l'unica a dettare legge.
Ma se da un lato semplifica la vita agli utenti, dall'altro rappresenta un vero e proprio ostacolo alla conformità per le aziende. Dalla protezione delle API al blocco degli endpoint, la PSD2 è rigorosa su come i dati vengono trasferiti e dove finiscono.
Quindi, qual è il quadro completo? Analizziamolo nel dettaglio.
Cos'è la PSD2 e perché è importante?
La PSD2 è una legge emanata dall'Unione Europea per rendere più sicuri i pagamenti online e dare alle persone un maggiore controllo sui propri dati bancari. È entrata in vigore nel 2018, sostituendo la PSD originale in vigore dal 2007.
L'idea principale alla base della PSD2 è semplice:
- Rendi i pagamenti digitali più sicuri
- Incoraggiare una maggiore competizione nello spazio finanziario
- Dai ai clienti un maggiore controllo su chi può accedere alle proprie informazioni finanziarie
Prima della PSD2, solo le banche potevano accedere alle informazioni di pagamento e al tuo conto. Ora, con la PSD2, puoi consentire ad altre app e servizi, come strumenti di budgeting o nuove app di pagamento, di connettersi in modo sicuro al tuo conto bancario. Questo ti offre più scelta e accesso a funzionalità migliori o commissioni più basse.
PSD1 vs PSD2: in cosa si differenzia la PSD2 dalla PSD originale?
La PSD originale è stata introdotta per creare un insieme di regole comuni per i pagamenti tra i paesi dell'UE. È stato il primo passo per rendere i pagamenti più fluidi all'interno della regione.
Ma aveva dei limiti. Non considerava le nuove tipologie di pagamenti digitali e non teneva conto della rapida crescita del settore fintech.
Ecco cosa ha cambiato la PSD2:
- Accesso di terze parti: Con la PSD2, le banche devono consentire ai fornitori terzi autorizzati (TPP) di accedere ai dati dei conti dei clienti e di avviare i pagamenti, solo con il consenso del cliente. Ciò non era possibile con la PSD originale.
- Sicurezza più forte: La PSD2 ha introdotto la Strong Customer Authentication (SCA). Ciò significa che le aziende devono verificare l'identità di un utente utilizzando almeno due metodi, come una password e un'impronta digitale. La PSD originale non prevedeva questa regola.
- Copertura più ampia: La PSD2 include le transazioni che coinvolgono una parte al di fuori dell'UE (i cosiddetti pagamenti "one-leg-out"), soprattutto se il fornitore del servizio si trova nell'UE. La PSD non ha trattato adeguatamente questo aspetto.
- Maggiori diritti dei clienti: La PSD2 offre agli utenti maggiori possibilità di contestare le transazioni non autorizzate e migliora le regole sui rimborsi.
Chi deve conformarsi alla PSD2?
La PSD2 si applica a un'ampia gamma di attività commerciali. Se la tua azienda gestisce pagamenti, dati contabili o transazioni finanziarie nell'UE o con clienti con sede nell'UE, questa legge è probabilmente applicabile anche a te.
Ecco una ripartizione:
- Banche e istituti di credito: Questi sono gli obiettivi principali. La PSD2 li obbliga ad aprire i loro sistemi (tramite API sicure) ad altri fornitori di servizi, una volta che il cliente ha dato il consenso.
- Fornitori di servizi di avvio dei pagamenti (PISP): Si tratta di aziende che consentono agli utenti di effettuare pagamenti direttamente dai propri conti bancari, saltando i circuiti delle carte. Pensate alle app che consentono di pagare direttamente dalla propria banca al momento del pagamento.
- Fornitori di servizi di informazione sui conti (AISP): Questi servizi raccolgono i dati dei conti di più banche e li mostrano in un unico posto, come le app di monitoraggio del denaro o di budgeting.
- Istituti di moneta elettronica e startup Fintech: Tutte le aziende che offrono portafogli digitali, carte prepagate o strumenti simili devono conformarsi alla PSD2 se operano nell'UE.
- Commercianti e piattaforme di e-commerce: Se accetti pagamenti online nell'UE, devi seguire regole come l'autenticazione forte del cliente e gestire i dati dei clienti con attenzione.
- Fornitori terzi (TPP): Qualsiasi azienda che accede ai dati bancari o avvia pagamenti per conto degli utenti rientra nella PSD2 e deve essere registrata presso l'autorità competente del proprio Paese.
Bottom line: Se la tua azienda si connette, utilizza o elabora dati bancari in qualsiasi forma, la PSD2 stabilisce le regole che devi rispettare.
Quali sono le componenti principali della PSD2?
Le regole sono basate sulla sicurezza, sulla trasparenza e sul controllo del cliente.
Ecco cosa richiede la PSD2:
1. Autenticazione forte del cliente (SCA)
Le aziende devono verificare l'identità di un utente utilizzando almeno due dei seguenti tre metodi:
- Articoli tecnici – Qualcosa che l’utente sa
(Esempio: Password, PIN) - Possesso palla – Qualcosa che l’utente ha
(Esempio: telefono, dispositivo token, smart card) - Inerenza – Qualcosa che l’utente è
(Esempio: impronta digitale, riconoscimento facciale)
Ciò aiuta a bloccare le frodi durante i pagamenti online, gli accessi o gli accessi all'account.
2. API di Open Banking
Le banche sono tenute a creare API sicure che consentano ai fornitori terzi autorizzati di:
- Accedi ai dettagli dell'account (con autorizzazione)
- Avviare pagamenti per conto degli utenti
Ciò rompe il monopolio che un tempo caratterizzava le banche e rende il sistema più aperto.
3. Consenso chiaro del cliente
Nessun dato può essere condiviso o consultato senza l'esplicito consenso dell'utente. L'azienda deve inoltre rendere semplice la revoca di tale consenso in qualsiasi momento.
4. Trasparenza nelle commissioni e nelle transazioni
Le aziende devono indicare chiaramente:
- Quanto costerà un pagamento?
- Eventuali costi aggiuntivi
- Aggiornamenti in tempo reale sullo stato della transazione
Ciò aiuta gli utenti a evitare costi nascosti.
5. Segnalazione degli incidenti e monitoraggio delle frodi
Le aziende devono dotarsi di sistemi per:
- Rileva attività insolite
- Segnalare i principali problemi di sicurezza alle autorità di regolamentazione entro 24 ore
In questo modo gli enti regolatori restano informati e si migliora la risposta alle frodi.
Questi requisiti si applicano indipendentemente dal fatto che tu sia una banca, un'app o un negozio online, purché tu gestisca pagamenti dei clienti o dati di conto.
In che modo la PSD2 influisce sulla privacy dei consumatori e sulla protezione dei dati?
La PSD2 offre agli utenti un maggiore controllo su chi può accedere ai propri dati finanziari e su come vengono utilizzati. È progettata per proteggere le informazioni personali, consentendo al contempo l'innovazione nei pagamenti e nel settore bancario.
Ecco come la PSD2 gestisce la privacy:
1. Il consenso esplicito dell'utente è obbligatorio
Nessuna azienda può accedere ai dati dell'account o avviare pagamenti senza un'autorizzazione chiara e diretta da parte dell'utente. Il consenso deve essere:
- Fornito dall'utente (non dato per scontato)
- Facile da capire
- Facile da ritirare in qualsiasi momento
2. Possono essere raccolti solo i dati necessari
Le app e i servizi possono richiedere solo le informazioni necessarie per svolgere la propria funzione. Ad esempio, un'app di pagamento non può richiedere l'intera cronologia delle transazioni se necessita solo del nome e del numero di conto.
3. Nessuna condivisione nascosta
I dati condivisi ai sensi della PSD2 non possono essere venduti o ceduti ad altre aziende senza un'ulteriore approvazione da parte dell'utente.
4. Misure di sicurezza dei dati
Le aziende devono rispettare rigorosi standard tecnici e di sicurezza per proteggere i dati dei clienti, tra cui crittografia, controlli di accesso e archiviazione sicura.
NOTA: La PSD2 non sostituisce il Regolamento Generale sulla Protezione dei Dati (GDPR), ma lo integra. Pertanto, qualsiasi azienda che aderisce alla PSD2 deve rispettare anche i requisiti di privacy del GDPR, garantendo che i propri dati siano gestiti in modo responsabile.
Quali sono le sanzioni per il mancato rispetto della PSD2?
Sanzioni per le imprese:
- Multe – Le autorità di regolamentazione possono imporre pesanti sanzioni alle aziende che non rispettano la PSD2. Tali sanzioni variano a seconda della gravità della violazione e del Paese, ma in alcuni casi possono raggiungere milioni di euro.
- Sospensione o revoca della patente – Per i fornitori di servizi di pagamento, le fintech e le banche, la mancata conformità può comportare la sospensione o la perdita della licenza operativa. Ciò significa che non saranno più autorizzati a fornire servizi di pagamento nell'UE.
- Danno alla reputazione – Un'azienda sorpresa a violare la PSD2 rischia di perdere la fiducia dei clienti. Se gli utenti ritengono che i loro dati o il loro denaro siano a rischio, potrebbero cercare alternative più sicure, con conseguenti danni per l'azienda a lungo termine.
- Azione legale – Nei casi più gravi, le aziende potrebbero dover affrontare cause legali da parte dei clienti o di altre aziende colpite dal mancato rispetto della PSD2.
Sanzioni per il mancato rispetto dei requisiti SCA:
- Transazioni non riuscite: Se un'azienda non implementa l'autenticazione forte del cliente (SCA), le transazioni potrebbero essere rifiutate, con conseguente perdita di vendite o opportunità commerciali.
- Incidenti di sicurezza: Una violazione dovuta a una debole sicurezza degli endpoint, alla mancanza di SCA o a una protezione dei dati insufficiente potrebbe esporre le aziende a ulteriori sanzioni e costringerle a risarcire i clienti interessati.
Da dove iniziare per la conformità alla PSD2: la sicurezza degli endpoint prima di tutto
Prima di addentrarci nella sicurezza delle API o nei flussi di lavoro SCA, iniziamo dalle basi: gestisci i tuoi endpoint.
Perché? Perché ogni interazione dell'utente con i dati finanziari, che si tratti di accesso al conto, approvazione delle transazioni o integrazione di app, avviene su un dispositivo. E se quel dispositivo non è sicuro, tutto il resto va in tilt.
Ecco come le aziende possono costruire solide basi per la conformità alla PSD2 attraverso la sicurezza degli endpoint:
1. Controllo di accesso sicuro – Assicuratevi che solo gli utenti verificati possano accedere ai dati finanziari da qualsiasi dispositivo. Applicate un'autenticazione avanzata a livello di dispositivo e impedite agli utenti non attendibili di avvicinarsi.
2. Visibilità e controllo a distanza – Monitora gli endpoint in tempo reale. Individua rapidamente accessi non autorizzati o comportamenti di accesso anomali. Se un dispositivo viene smarrito o compromesso, gli amministratori dovrebbero essere in grado di cancellarne immediatamente i dati.
3. Crittografa tutto – Che si tratti di dati trasferiti tra un'app e una banca o di una richiesta di accesso da un dispositivo mobile, la crittografia dovrebbe essere imprescindibile. Mantiene al sicuro le informazioni sensibili durante il trasferimento.
4. Proteggersi dal malware – Un dispositivo infetto può rivelare password, intercettare codici di sicurezza o falsificare transazioni senza dare nell'occhio. La protezione in tempo reale e le scansioni regolari tengono lontani gli aggressori.
5. Imposta limiti a livello di app e utente – Non tutti gli utenti hanno bisogno di accedere a tutte le app o funzionalità. Limita l'accesso solo a ciò che è strettamente necessario. Questo riduce i rischi e mantiene gli endpoint snelli e conformi.
Conclusioni
Per le aziende, conformarsi alla PSD2 rappresenta un'opportunità per costruire fiducia, offrire servizi migliori e rimanere competitive in questo mercato in continua evoluzione. Tuttavia, il mancato rispetto delle normative può comportare sanzioni significative, rischi legali e danni alla reputazione.
Ricordate, sicurezza degli endpoint gioca un ruolo fondamentale nella conformità alla PSD2. Le aziende devono garantire che i dispositivi che accedono a dati finanziari sensibili siano ben protetti e che l'autenticazione dei clienti sia sempre impeccabile.
