PSD2, prescurtarea de la Directiva revizuită privind serviciile de plată, este motorul din spatele plăților online securizate, integrărilor bancare și plăților instantanee în întreaga Europă.
Nu este doar o reglementare. Este o schimbare care a deschis porțile pentru jucătorii din domeniul fintech, a înăsprit regulile de securitate și s-a asigurat că banca dumneavoastră nu mai este singura care dă ordine.
Însă, deși facilitează viața utilizatorilor, este și o figură importantă în ceea ce privește conformitatea pentru companii. De la securizarea API-urilor până la blocarea endpoint-urilor, PSD2 este strictă în ceea ce privește modul în care datele se deplasează și unde ajung acestea.
Deci, care este imaginea de ansamblu? Hai să o analizăm.
Ce este PSD2 și de ce este important?
PSD2 este o lege elaborată de Uniunea Europeană pentru a face plățile online mai sigure și pentru a oferi oamenilor mai mult control asupra datelor lor bancare. A intrat în vigoare în 2018, înlocuind PSD-ul original, care exista din 2007.
Ideea principală din spatele PSD2 este simplă:
- Faceți plățile digitale mai sigure
- Încurajați mai multă concurență în spațiul financiar
- Oferiți clienților mai mult control despre cine poate accesa informațiile lor financiare
Înainte de PSD2, doar băncile puteau accesa informațiile despre plăți și cont. Acum, cu PSD2, puteți permite altor aplicații și servicii, cum ar fi instrumentele de bugetare sau noile aplicații de plată, să se conecteze în siguranță la contul dvs. bancar. Acest lucru vă oferă mai multe opțiuni și acces la funcții mai bune sau comisioane mai mici.
PSD1 vs PSD2: Prin ce diferă PSD2 de PSD-ul original?
PSD-ul inițial a fost introdus pentru a crea un set comun de reguli pentru plățile în toate țările UE. A fost primul pas pentru a facilita plățile în regiune.
Dar avea limite. Nu acoperea noile tipuri de plăți digitale și nu lua în considerare cât de repede se dezvolta fintech-ul.
Iată ce a schimbat PSD2:
- Acces terță parteConform PSD2, băncile trebuie să permită furnizorilor terți autorizați (TPP) să acceseze datele conturilor clienților și să înceapă plățile, numai cu permisiunea clientului. Acest lucru nu era posibil în cadrul PSD inițial.
- Securitate mai puternicăPSD2 a introdus autentificarea puternică a clienților (SCA). Aceasta înseamnă că firmele trebuie să verifice identitatea unui utilizator folosind cel puțin două metode, cum ar fi o parolă și o amprentă digitală. PSD-ul original nu avea această regulă.
- Acoperire mai largăPSD2 include tranzacțiile care implică o parte din afara UE (numite plăți „one-leg-out”), în special dacă furnizorul de servicii se află în UE. PSD nu a acoperit acest aspect în mod corespunzător.
- Mai multe drepturi ale cliențilorPSD2 oferă utilizatorilor mai multă putere de a contesta tranzacțiile neautorizate și îmbunătățește regulile de rambursare.
Cine trebuie să respecte PSD2?
PSD2 se aplică unei game largi de afaceri. Dacă firma dvs. gestionează plăți, date de cont sau orice tranzacții financiare în UE sau cu clienți din UE, este probabil ca această lege să vi se aplice.
Iată o defalcare:
- Băncile și instituțiile de creditAcestea sunt principalele ținte. PSD2 îi obligă să își deschidă sistemele (prin API-uri securizate) către alți furnizori de servicii, odată ce clientul își dă consimțământul.
- Furnizori de servicii de inițiere a plăților (PISP)Acestea sunt companii care permit utilizatorilor să efectueze plăți direct din conturile lor bancare, ocolind rețelele de carduri. Gândiți-vă la aplicațiile care vă permit să plătiți direct din contul dvs. bancar în timpul finalizării comenzii.
- Furnizori de servicii de informații despre conturi (AISP)Aceste servicii colectează date despre conturi de la mai multe bănci și le afișează într-un singur loc, cum ar fi aplicațiile de urmărire a banilor sau de bugetare.
- Instituții de monedă electronică și startup-uri FintechOrice companie care oferă portofele digitale, carduri preplătite sau instrumente similare trebuie să respecte PSD2 dacă își desfășoară activitatea în UE.
- Comercianți și platforme de comerț electronicDacă acceptați plăți online în UE, trebuie să respectați reguli precum autentificarea puternică a clienților și să gestionați cu atenție datele clienților.
- Furnizori terți (TPP-uri)Orice companie care accesează date bancare sau inițiază plăți în numele utilizatorilor se încadrează în PSD2 și trebuie să fie înregistrată la autoritatea relevantă din țara sa.
Linia de fund: Dacă afacerea dumneavoastră se conectează la, utilizează sau prelucrează date bancare în orice formă, PSD2 stabilește regulile pe care trebuie să le respectați.
Care sunt principalele componente ale PSD2?
Regulile sunt construite în jurul securității, transparenței și controlului asupra clienților.
Iată ce impune PSD2:
1. Autentificare puternică a clienților (SCA)
Companiile trebuie să verifice identitatea unui utilizator folosind cel puțin două din trei metode:
- Noutăți – Ceva ce utilizatorul știe
(Exemplu: Parolă, PIN) - Deţinere – Ceva ce are utilizatorul
(Exemplu: Telefon, dispozitiv token, card inteligent) - Inerenta – Ceva ce utilizatorul este
(Exemplu: Amprentă digitală, recunoaștere facială)
Acest lucru ajută la blocarea fraudelor în timpul plăților online, conectărilor sau accesării contului.
2. API-uri pentru Open Banking
Băncile sunt obligate să construiască API-uri securizate care să permită furnizorilor terți licențiați:
- Accesați detaliile contului (cu permisiune)
- Inițiați plăți în numele utilizatorilor
Acest lucru sparge monopolul pe care băncile îl aveau înainte și face sistemul mai deschis.
3. Consimțământul clar al clientului
Nicio informație nu poate fi partajată sau accesată fără permisiunea explicită a utilizatorului. De asemenea, compania trebuie să faciliteze anularea acestei permisiuni oricând.
4. Transparența comisioanelor și a tranzacțiilor
Întreprinderile trebuie să demonstreze clar:
- Cât va costa o plată
- Orice costuri suplimentare
- Actualizări în timp real despre starea tranzacției
Acest lucru îi ajută pe utilizatori să evite taxele ascunse.
5. Raportarea incidentelor și monitorizarea fraudelor
Companiile trebuie să aibă sisteme pentru:
- Detectează activități neobișnuite
- Raportați problemele majore de securitate autorităților de reglementare în termen de 24 de ore
Acest lucru menține autoritățile de reglementare informate și îmbunătățește răspunsul la fraudă.
Aceste cerințe se aplică indiferent dacă sunteți o bancă, o aplicație sau un magazin online, atâta timp cât gestionați plăți ale clienților sau date despre conturi.
Cum afectează PSD2 confidențialitatea consumatorilor și protecția datelor?
PSD2 oferă utilizatorilor mai mult control asupra cine poate accesa datele lor financiare și asupra modului în care acestea sunt utilizate. Este concepută pentru a proteja informațiile personale, permițând în același timp inovația în domeniul plăților și al serviciilor bancare.
Iată cum gestionează PSD2 confidențialitatea:
1. Consimțământul explicit al utilizatorului este obligatoriu
Nicio companie nu poate accesa datele contului sau iniția plăți fără permisiunea clară și directă a utilizatorului. Consimțământul trebuie să fie:
- Dat de utilizator (nu se presupune)
- Ușor de înțeles
- Ușor de retras în orice moment
2. Pot fi colectate doar datele necesare
Aplicațiile și serviciile pot solicita doar informațiile de care au nevoie pentru a-și îndeplini funcțiile. De exemplu, o aplicație de plată nu vă poate solicita istoricul complet al tranzacțiilor dacă are nevoie doar de numele și numărul contului dumneavoastră.
3. Fără partajare ascunsă
Datele partajate în cadrul PSD2 nu pot fi vândute sau transmise altor companii fără o nouă rundă de aprobare a utilizatorului.
4. Măsuri de securitate a datelor
Companiile trebuie să respecte standarde tehnice și de securitate stricte pentru a proteja datele clienților - acestea includ criptarea, controalele de acces și stocarea securizată.
NOTĂ: PSD2 nu anulează Regulamentul general privind protecția datelor (GDPR); îl completează. Așadar, orice companie care intră sub incidența PSD2 trebuie să îndeplinească și cerințele de confidențialitate ale GDPR, asigurându-se că datele dumneavoastră sunt gestionate în mod responsabil.
Care sunt sancțiunile pentru nerespectarea PSD2?
Sancțiuni pentru companii:
- Amenzi – Autoritățile de reglementare pot impune amenzi consistente companiilor care nu respectă PSD2. Aceste amenzi variază în funcție de gravitatea încălcării și de țară, dar pot ajunge la milioane de euro în unele cazuri.
- Suspendarea sau revocarea permisului – Pentru furnizorii de servicii de plată, companiile fintech sau băncile, nerespectarea reglementărilor poate duce la suspendarea sau pierderea licenței lor de funcționare. Aceasta înseamnă că nu li s-ar mai permite să furnizeze servicii de plată în UE.
- Daune aduse reputației – O companie prinsă încălcând PSD2 riscă să piardă încrederea clienților. Dacă utilizatorii simt că datele sau banii lor sunt în pericol, pot opta pentru alternative mai sigure, ceea ce poate afecta afacerea pe termen lung.
- Acțiune în justiție – În cazuri grave, companiile se pot confrunta cu procese din partea clienților sau a altor companii afectate de nerespectarea PSD2.
Sancțiuni pentru neîndeplinirea cerințelor SCA:
- Tranzacții nereușiteDacă o companie nu implementează autentificarea puternică a clienților (SCA), tranzacțiile ar putea fi refuzate. Acest lucru ar putea duce la pierderea vânzărilor sau a oportunităților de afaceri.
- Incidente de securitateO încălcare a securității datelor din cauza unei securități slabe a endpoint-urilor, a lipsei SCA sau a unei protecții insuficiente a datelor ar putea expune companiile la amenzi suplimentare și le-ar putea obliga să despăgubească clienții afectați.
De unde să începeți cu conformitatea cu PSD2: Securitatea terminalelor pe primul loc
Înainte de a te concentra pe securitatea API-urilor sau pe fluxurile de lucru SCA, începe cu elementele de bază: gestionează-ți endpoint-urile.
De ce? Deoarece fiecare interacțiune a utilizatorului cu datele financiare, fie că este vorba de accesarea contului, aprobarea tranzacțiilor sau integrarea aplicațiilor, are loc pe un dispozitiv. Și dacă acel dispozitiv nu este securizat, totul se destramă.
Iată cum pot companiile să construiască o bază solidă pentru conformitatea cu PSD2 prin securitatea endpoint-urilor:
1. Controlul accesului securizat – Asigurați-vă că doar utilizatorii verificați pot accesa datele financiare de pe orice dispozitiv. Aplicați o autentificare puternică la nivel de dispozitiv și împiedicați utilizatorii neîncrezători să se apropie chiar de ele.
2. Vizibilitate și control de la distanță – Monitorizați terminalele în timp real. Identificați rapid accesul neautorizat sau comportamentul ciudat de conectare. Dacă un dispozitiv este pierdut sau compromis, administratorii ar trebui să poată șterge instantaneu datele.
3. Criptați totul – Indiferent dacă este vorba de date care se transferă între o aplicație și o bancă sau de o solicitare de conectare de pe un dispozitiv mobil, criptarea ar trebui să fie nenegociabilă. Aceasta păstrează informațiile sensibile în siguranță în timpul transferului.
4. Protejați-vă împotriva programelor malware – Un dispozitiv infectat poate divulga în mod silențios parole, poate intercepta coduri de securitate sau poate falsifica tranzacții. Protecția în timp real și scanările regulate țin atacatorii la distanță.
5. Stabiliți limite la nivel de aplicație și utilizator – Nu fiecare utilizator are nevoie de acces la fiecare aplicație sau funcție. Limitați accesul doar la ceea ce este necesar. Acest lucru reduce riscul și menține endpoint-urile eficiente și conforme.
Gânduri finale
Pentru companii, respectarea PSD2 este o oportunitate de a construi încredere, de a oferi servicii mai bune și de a rămâne competitive pe această piață în continuă schimbare. Cu toate acestea, nerespectarea reglementărilor poate duce la amenzi semnificative, riscuri juridice și daune aduse reputației.
Amintiți-vă, securitatea punctului final joacă un rol esențial în conformitatea cu PSD2. Companiile trebuie să se asigure că dispozitivele care accesează date financiare sensibile sunt bine protejate și că autentificarea clienților este întotdeauna la înălțime.
