PSD2 i silne uwierzytelnianie (SCA) — co zmienia w sklepie

PSD2 rozszerza wcześniejszą dyrektywę PSD i reguluje usługi płatnicze na rynku wewnętrznym UE.¹
W sklepie internetowym jej przepisy wpływają na bezpieczeństwo transakcji i autoryzację płatności elektronicznych. Poniżej wyjaśniamy silne uwierzytelnianie klienta (SCA), wyjątki od niego oraz znaczenie tych zasad dla konwersji i płatności cyklicznych.

Czym jest PSD2 i jakie płatności obejmuje?

PSD2 dopuściła do rynku usług płatniczych podmioty korzystające z uprawnień wcześniej zarezerwowanych dla banków.² Tekst dyrektywy liczy 93 strony.²
Przy obsłudze płatności elektronicznych mogą więc działać zarówno banki, jak i inne uprawnione instytucje płatnicze.

Przyjęcie dyrektywy nie oznaczało jeszcze rozpoczęcia stosowania przepisów krajowych. Dyrektywę uchwalono 25 listopada 2015 r., a państwa członkowskie miały stosować wdrażające ją przepisy od 13 stycznia 2018 r.³

Dane w tabeli: 2,4,5,6,7

Co zmieniła dyrektywa PSD2 w usługach bankowych?

PSD2 uregulowała otwartą bankowość, w tym udostępnianie informacji o rachunkach innym podmiotom.⁷
Dostęp do takich danych stał się częścią regulowanych usług, a nie tylko relacji klienta z bankiem. Art. 67 PSD2 pozwala uprawnionemu dostawcy uzyskać informacje o rachunku online pod warunkiem wyraźnej zgody użytkownika³.

Jakie korzyści PSD2 przynosi sprzedającym i kupującym?

PSD2 pozwala sprzedającym i kupującym korzystać z usług płatniczych różnych uprawnionych podmiotów. Sprzedający może porównać obsługę płatności w sklepie, a kupujący – sposób autoryzacji transakcji.
To, że dyrektywa obejmuje daną usługę, nie przesądza o jej cenie ani konwersji w konkretnym sklepie. Art. 66 PSD2 daje płatnikowi prawo do usługi inicjowania płatności przez uprawnionego dostawcę, jeśli rachunek jest dostępny online³.

Jakie są główne cele PSD2?

PSD2 określa zasady świadczenia usług płatniczych i dostępu do informacji w otwartej bankowości. Klientowi dotyczą one bezpieczeństwa transakcji i ochrony danych. Dla rynku wyznaczają z kolei zasady udziału podmiotów innych niż banki.
Art. 94 PSD2 reguluje przetwarzanie danych osobowych przez dostawców usług płatniczych, w tym ich ochronę zgodnie z przepisami unijnymi³.

Jakich usług, podmiotów i transakcji dotyczy PSD2?

PSD2 obejmuje usługi płatnicze banków i innych uprawnionych instytucji, także te związane z dostępem do rachunku. Dla sklepu liczą się przede wszystkim płatności elektroniczne i podmioty obsługujące transakcje.
Dyrektywa reguluje więc zarówno płatności, jak i dostęp do danych rachunku. Pkt 7 i 8 załącznika I do PSD2 wymieniają inicjowanie płatności oraz dostęp do informacji o rachunku jako usługi płatnicze³.

Czym jest silne uwierzytelnianie klienta (SCA)?

SCA to sposób potwierdzania tożsamości użytkownika, który PSD2 wprowadziła jako wymóg bezpieczeństwa płatności i bankowości elektronicznej.⁸ Przy autoryzacji płatności elektronicznej wymaga co najmniej 2 niezależnych elementów – samo hasło nie wystarczy.¹
Przy płatności zdalnej art. 5 rozporządzenia 2018/389 nakazuje powiązać kod uwierzytelniający z kwotą i odbiorcą zaakceptowanymi przez płatnika⁹.

Elementy SCA pochodzą z 3 kategorii: wiedzy, posiadania i cechy użytkownika.¹⁰ Art. 4 pkt 30 PSD2 wymaga ich niezależności, aby naruszenie jednego nie osłabiało wiarygodności pozostałych³.

• Wiedza – informacja znana użytkownikowi, na przykład hasło.
• Posiadanie – przedmiot, którym dysponuje użytkownik, na przykład telefon.
• Cecha użytkownika – właściwość biometryczna, na przykład odcisk palca.

Silne uwierzytelnianie dotyczy dostępu do rachunku online, inicjowania elektronicznej transakcji płatniczej i czynności zdalnych niosących ryzyko oszustwa.¹⁰
W sklepie dodatkowe potwierdzenie tożsamości wchodzi w ścieżkę płatności, gdy transakcja wymaga SCA. Wyjątki pozwalają część płatności zakończyć bez tego kroku. Te trzy sytuacje wymienia art. 97 ust. 1 PSD2 jako przypadki stosowania SCA przez dostawcę usług płatniczych³.

Dla sklepu liczy się przebieg całej ścieżki. Klient powinien móc ukończyć wymagane potwierdzenie tożsamości i wrócić do informacji o wyniku płatności.

Czym jest zgodność dostawcy usług płatniczych z PSD2?

Zgodność dostawcy usług płatniczych z PSD2 dotyczy konkretnej usługi: właściwych uprawnień do jej świadczenia i spełnienia wymagań bezpieczeństwa.
Wybierając operatora płatności online, sklep powinien ocenić usługę i sposób integracji, nie tylko nazwę dostawcy. Art. 14 PSD2 przewiduje publiczny rejestr internetowy wskazujący, do których usług płatniczych instytucja ma uprawnienia³.

Mała Instytucja Płatnicza (MIP) działa w ograniczonym zakresie i nie może świadczyć usług opartych na dostępie do konta.¹⁰ Obowiązują ją także limity transakcji i środków klienta. Średnia miesięczna wartość transakcji MIP z poprzednich 12 miesięcy nie może przekroczyć równowartości 1,5 mln euro¹¹.

Dane w tabeli: 10,11,12,13

Jak ocenić zgodność operatora płatności z PSD2?

Oceniając operatora płatności online, uwzględnij zgodność wybranej usługi z PSD2 i SCA. Sprawdź też dostępność API – interfejsu łączącego systemy – lub wtyczek do sklepu.¹
Art. 30 rozporządzenia 2018/389 wymaga od dostawcy prowadzącego rachunek interfejsu do bezpiecznej komunikacji z dostawcami usług otwartej bankowości⁹.

• Ustal, kto świadczy wybraną usługę płatniczą i w jakiej kategorii działa.
• Sprawdź przebieg uwierzytelnienia podczas płatności oraz to, kto obsługuje jej wynik.
• Porównaj dostępne API lub wtyczki z platformą sklepu i planowanym sposobem przyjmowania płatności.

W ten sposób oceniasz usługę i jej integrację. Sama deklaracja dotycząca całej marki nie opisuje ścieżki płatności w Twoim sklepie.

Jaka ustawa reguluje usługi płatnicze w Polsce?

Ustawa o usługach płatniczych reguluje świadczenie tych usług w Polsce. Wyznacza ramy działania dostawców, dlatego status prawny operatora trzeba odróżnić od funkcji jego produktu.
PSD2 zaczęła obowiązywać w Polsce 20 czerwca 2018 r. Zgodność konkretnej usługi z wymaganiami oraz przebieg SCA trzeba jednak ocenić osobno.

Taką ocenę odnieś do usługi płatniczej, którą sklep rzeczywiście udostępnia klientom.

Jak PSD2 jest wdrażana w sklepach i bankach oraz nadzorowana?

PSD2 wdrażają podmioty obsługujące płatności. Sklepy i klienci odczuwają jej skutki podczas autoryzacji transakcji oraz korzystania z dostępu do rachunków. W Polsce termin wdrożenia przepisów przez podmioty finansowe wyznaczono na 20 grudnia 2018 r.^2,6

Zakres weryfikacji zależy od roli danego podmiotu. Art. 22 PSD2 zobowiązuje państwa członkowskie do wyznaczenia organów wydających zezwolenia instytucjom płatniczym i sprawujących nad nimi nadzór³.

Jak wymagania PSD2 dotyczą małego sklepu internetowego?

Mały sklep internetowy uwzględnia PSD2 przy przetwarzaniu płatności elektronicznych i obsłudze klientów.¹ Powinien przejść ścieżkę, na której może pojawić się uwierzytelnienie wymagane przez art. 97 ust. 1 PSD2. Kontrola powinna objąć:

• Przejście od wyboru metody płatności do komunikatu o wyniku transakcji.
• Ustalenie, kto wyświetla klientowi żądanie silnego uwierzytelnienia.
• Sprawdzenie, jak sklep informuje o płatności przerwanej podczas autoryzacji.

Klient powinien wiedzieć, czy płatność dobiegła końca. Właśnie temu służy kontrola ścieżki zakupowej.

Jak sprawdzić wdrożenie PSD2 w banku?

Wdrożenie w banku można ocenić przez logowanie, potwierdzanie płatności i udostępnianie dostępu przez open API. Ten interfejs umożliwia uprawnionym systemom wymianę danych.
Sprawdzenie obejmuje również dostęp do informacji o rachunku za wyraźną zgodą użytkownika, o którym mówi art. 67 PSD2.

• Przejdź proces logowania do rachunku i odnotuj sposób potwierdzania tożsamości.
• Sprawdź przebieg autoryzacji elektronicznej transakcji płatniczej.
• Ustal, jak bank zarządza dostępem udzielonym innym podmiotom.
• Oceń zabezpieczanie i odzyskiwanie danych przy korzystaniu z open API. Mechanizmy te służą przywróceniu usług po ataku.¹⁴

Kontrola dotyczy więc zarówno dostępu klienta, jak i odporności usług opartych na API.

Które instytucje europejskie nadzorują wdrażanie PSD2?

Europejski Urząd Nadzoru Bankowego (EBA) przygotowuje standardy techniczne i wytyczne dotyczące PSD2. Dostawców usług płatniczych nadzorują bezpośrednio właściwe organy krajowe, wyznaczane zgodnie z art. 22 PSD2.
Komisja Europejska monitoruje wdrażanie prawa unijnego przez państwa członkowskie. EBA nie zastępuje krajowego organu prowadzącego sprawę konkretnego dostawcy.

Weryfikując PSD2, trzeba osobno przyjrzeć się płatnościom w sklepie, usługom banku i nadzorowi nad dostawcą.

Jakich zmian można oczekiwać po PSD3?

PSD3 ma doprecyzować zasady świadczenia usług płatniczych, w tym ochronę przed oszustwami i dostęp do rachunków w otwartej bankowości. Dla sklepu będzie się liczyć to, czy przyjęte przepisy zmienią uwierzytelnianie klienta, wyjątki od SCA lub obowiązki dostawcy płatności¹⁵.

PSD3 nie daje obecnie podstaw do zmiany procesu płatności cyklicznych ani do obiecywania wyższej konwersji. Bieżąca konfiguracja powinna uwzględniać co najmniej 2 niezależnych elementów SCA tam, gdzie wymagane jest uwierzytelnienie.
Zmiany w płatnościach cyklicznych należy planować na podstawie ostatecznej treści nowych przepisów.