Pagamenti online: cosa cambia con la direttiva PSD2

Il 14 settembre anche in Italia è diventata operativa la direttiva europea PSD2. Si tratta di un passaggio importante che cambierà molte cose nel mondo dei pagamenti digitali. Sicuramente nelle ultime settimane a molti consumatori saranno arrivate lettere ed email di avvertimento su questa novità da parte dei loro istituti di credito. In generale, però, nel nostro Paese c’è ancora molta confusione su cosa preveda effettivamente questa direttiva e su come, da adesso, cambierà il modo di effettuare un pagamento online. Proviamo a capire nel dettaglio di cosa si tratta.

Cosa significa PSD2?

L’acronimo PSD2 sta per Payment Services Directive 2, vale a dire Direttiva Europea sui Servizi di Pagamento 2. La direttiva risale al 2015, è entrata in vigore il 13 gennaio del 2018 ed è diventata operativa dal 14 settembre. I suoi obiettivi sono principalmente 3: armonizzare le modalità per i pagamenti digitali in tutti i Paesi membri dell’Unione Europea; rendere più sicure le transazioni con l’autenticazione a due fattori per chi fa acquisti online; permettere a soggetti terzi autorizzati di accedere ai dati in possesso delle banche per proporre ai clienti delle modalità di gestione del credito alternative a quelle tradizionali.

I pagamenti online saranno più sicuri?

In base alla nuova normativa, per i pagamenti elettronici non è più possibile utilizzare il token fisico, ossia la chiavetta di plastica, ma si dovrà ricorrere al nuovo sistema del token mobile. In questo modo si preverranno reati molto comuni sul web come le frodi e i furti d’identità. Il nuovo sistema di sicurezza si basa su tre elementi chiavi. Almeno due di questi devono essere utilizzati da ogni banca:

1. Possedere una password o un codice pin per effettuare i pagamenti;
2. I pagamenti possono essere effettuati esclusivamente utilizzando uno strumento unicamente in possesso dell’utente: può trattarsi di uno smartphone o di un token mobile, vale a dire una password usa e getta chiamata Otp (one time password, in pratica password valida per un solo utilizzo) che viene generata dall’app della propria banca e che, a differenza del passato, è valida soltanto per un’operazione;
3. Permettere all’utente di effettuare un pagamento o tramite l’impronta digitale impressa sul telefonino o con il riconoscimento facciale effettuato sempre attraverso uno smartphone.

Cosa significa che soggetti terzi possono accedere ai nostro dati bancari?

Come detto, secondo la direttiva europea PSD2 le banche non avranno più il monopolio sulle informazioni contenute nei conti correnti dei propri clienti. Gli utenti potranno dunque permettere a soggetti terzi – che devono però essere autorizzati con apposita licenza – di consultare ed elaborare i loro dati bancari. Il principio fatto valere dalla direttiva è che i dati di un cliente non sono di proprietà della banca ma del correntista. Il rischio però, secondo Consob (Commissione nazionale per la società e la borsa), è che gli utenti finiranno in molti casi per dare il loro consenso per servizi di cui non necessitano, ad esempio “consulenza in materia di investimenti”, “gestione di portafogli”, “consulenza patrimoniale, previdenziale e/o assicurativa”. Ad approfittare di questa apertura potrebbero essere colossi come Google, Facebook e Amazon che da ora in avanti avranno la possibilità di accedere più facilmente a una enorme mole di dati sensibili per proporre in modo più targettizzato servizi come l’instant payment (pagamento istantaneo) o di creare portafogli direttamente sui marketplace.

Cosa significano gli acronimi Pisp, Aisp e Cisp?

Da ora in avanti in riferimento a questa nuova direttiva sentiremo pronunciare sempre più spesso una serie di acronomi. Tra questi c’è Pisp, sigla che sta per Payment Initiation Service Providers, vale a dire società intermediarie concorrenti delle banche sui servizi di pagamento che, previa autorizzazione dell’utente, potranno accedere alle informazioni del correntista/cliente. L’Aisp (Account Information Services Providers) è invece un “aggregatore”: la sua funzione è collegarsi a tutti i conti bancari del cliente fornendogli un quadro complessivo e aggiornato della sua situazione finanziaria. I Cisp (Card Issuer Service Providers), infine, sono soggetti che emettono carte di pagamento. Ma a differenza delle comuni carte prepagate (che sono ricaricabili prelevando denaro dal proprio conto corrente), queste carte sono direttamente collegate al conto corrente, anche se questo è stato aperto in una banca differente.

Tutte le banche si sono messe in regola?

A inizio agosto Banca d’Italia ha concesso una proroga per un periodo limitato alle banche che non si sono attenute alle nuove procedure. Sarà l’EBA (Autorità bancaria europea) a stabilire quanto durerà questa proroga.

Di cosa si sono lamentati finora i consumatori?

Sono tanti i consumatori “preoccupati” da questa nuova direttiva. Soprattutto chi non possiede smartphone non capisce come potrà fare pagamenti non potendo scaricare l’app della propria banca. Per questi casi alcune banche prevedono in alternativa all’app l’invio del codice segreto che permette il pagamento via sms. Il problema, però, è che spesso si tratta di un servizio che ha un costo. Autore: Rocco Bellantone
Data: 17 settembre 2019