El Payment Service Directive 2 (PSD2) es una directiva europea cuya función es aumentar la seguridad y protección ante riesgos de las operaciones bancarias, sobre todo en Internet, tanto para consumidores como para negocios.
A partir de ahora tendremos más garantías de que nuestras transacciones en Internet serán más seguras, ya que se incluirá una autenticación reforzada, es decir, la autenticación basada en usar dos o más elementos
Explicado de otro modo, a partir de ahora toda operación de pago deberá pasar por un mínimo de dos de los tres factores expuestos para que el cliente quede efectivamente identificado y la operación pueda llevarse a cabo:
– Conocimiento: Algo que solo conoce el usuario: bien puede ser una pregunta secreta, una contraseña o un PIN.
– Posesión: Algo que posee el usuario: como una tarjeta inteligente o un móvil.
– Inherencia: Algo que es del usuario: como su voz, reconocimiento ocular o con la huella dactilar.
Su finalidad es facilitar una elevada protección del consumidor en el uso de los servicios de pago en toda la Unión, por lo que a partir de su entrada en vigor, los bancos ya deberán comenzar a rechazar los pagos que no cumplan con este criterio.
¿A quién afecta la nueva norma de pago?
La normativa europea diferencia entre los pagos iniciados por el cliente, que serán aquellos en los que se aplicará la norma de manera restrictiva en los términos expuestos afectando a la mayoría de los pagos con tarjetas, ya sean online u offline, y todas las transferencias bancarias.
Y aquellos que son iniciados por el comerciante en los que se podrá hacer una autentificación más laxa, como veremos a continuación.
No obstante, esta normativa afecta tanto al autónomo que cobra por su producto como al banco titular de la tarjeta utilizada por el cliente (siempre que se encuentren dentro del Espacio Económico Europeo) y por supuesto al cliente que tendrá que proceder a identificarse de dos maneras por cada transacción que quiera realizar.
Exenciones a la Autentificación Reforzada del Cliente o SCA
La autenticación reforzada será obligatoria a partir del 14 de septiembre de 2019 y sólo será necesaria en los pagos online iniciados por el cliente. Se excluye de ellos:
– Aquellos pagos recurrentes como pueden ser suscripciones a prensa, plataformas de televisión o páginas web donde es el propio comercio quien inicia el pago y se considera vinculado a la autorización que se da en el primer pago.
– Transacciones de bajo riesgo en el caso de que el proveedor de pagos y el banco no excedan de una cuota determinada de fraudes.
– Transacciones inferiores a 30€.
– Operaciones en un comercio online previamente clasificado como “de confianza” por el cliente (whitelist).
CÓMO AFECTA A TU TIENDA LA NUEVA LEY DE SERVICIOS DE PAGO PSD2
Dependiendo del tipo de tienda nos afecta de diferente manera:
Tienda física
Estos nuevos requisitos tienen un impacto menor, gracias a las tarjetas con chip y PIN. En estos casos, ya se cumplen los requisitos de autenticación reforzada, porque existe un elemento de posesión (la tarjeta) y un elemento de conocimiento (el código PIN). No vas a tener que hacer ningún cambio en tu TPV, simplemente la experiencia de pago de tus clientes va a cambiar ligeramente. A partir del 14 de septiembre, al realizar un pago mediante contactless, el TPV en algunos casos denegará la transacción, y pedirá que se inserte la tarjeta para introducir el PIN.
Tienda on-line
Si aceptas pagos online el impacto será mayor, ya que los titulares de tarjetas ya no podrán realizar pagos en línea utilizando la información impresa de sus tarjetas (número de tarjeta, fecha de caducidad y código de seguridad).
En su lugar, tendrán que, por ejemplo, verificar su identidad introduciendo durante el proceso de pago un código adicional que recibirán en su móvil o mediante la aplicación bancaria que esté conectada a su teléfono y que requiera una contraseña o huella dactilar para aprobar una transacción.
Los encargados de implementar la SCA son los proveedores de pago, por lo que no supone ninguna gestión para la tienda online salvo que trabaje como proveedor de pagos por sí misma, en cuyo caso deberá incluir dos de los tres elementos de validación para validar el pago.
