3. La nuova normativa in materia di cyber risk
3.2 L’impatto della Direttiva PSD2 (Payment Services Directive 2) sulla sicurezza bancaria
3.2.1 Le principali novità normative introdotte
Negli ultimi anni il mercato dei pagamenti ha subìto dei cambiamenti radicali, dovuti principalmente al progresso tecnologico in atto a livello globale, che ha favorito la nascita di nuovi player e l’introduzione di nuovi servizi di pagamento. Tali trasformazioni hanno richiesto una revisione della normativa riguardante i servizi di pagamento: infatti, nel 2015 è stata pubblicata sulla Gazzetta Ufficiale la Direttiva (UE) 2015/2366 relativa ai servizi di pagamento nel mercato interno (cioè la PSD2), la quale abroga la precedente Direttiva 2007/64/CE (detta anche PSD).
L’obiettivo principale della Direttiva PSD2 è quello di garantire un’uniformità della legislazione in materia di servizi di pagamento, favorendo così la creazione di un mercato unico e integrato dei servizi di pagamento88. La Direttiva vuole porre maggiore
attenzione al tema della sicurezza nei servizi di pagamento, resa labile nel sistema bancario in seguito all’aumento del cyber risk.
In tale contesto, l’impianto normativo della PSD2 è volto a rafforzare la sicurezza nell’ambito dei pagamenti elettronici, contribuendo così ad aumentare la fiducia dei consumatori nei confronti degli istituti di credito; inoltre, dal testo della Direttiva si coglie l’intento di assicurare l’armonizzazione del mercato dei pagamenti al fine di superare le differenze tra le discipline degli Stati membri e consentire agli operatori del mercato di beneficiare di una maggiore trasparenza nelle transazioni.
Vediamo adesso di esaminare le principali novità normative introdotte con la PSD2, confrontandole con le disposizioni contenute nella Direttiva precedentemente abrogata, ossia la PSD (Payment Services Directive), che ha iniziato, ma non completato, il processo di armonizzazione delle regole in materia di prestazione di servizi di pagamento. Le banche sono chiamate a rispettare le disposizioni contenute nella PSD2: infatti, in base all’art.1 della Direttiva, le regole sono rivolte ad alcune categorie di prestatori di servizi di pagamento, ossia agli enti creditizi, agli istituti di moneta elettronica, alla BCE e alle banche centrali nazionali qualora non agiscano quali autorità monetarie o altre autorità pubbliche.
La prima novità è contenuta nell’art.2 della PSD2 e riguarda l’estensione dell’ambito di applicazione della Direttiva alle seguenti categorie di operazioni di pagamento:
88 Gazzetta ufficiale dell’Unione Europea, “Direttiva (UE) 2015/2366 del Parlamento europeo e del
88
1) Operazioni di pagamento nella valuta di uno Stato membro nelle quali entrambi i prestatori di servizi di pagamento (del pagatore e del beneficiario) sono situati all’interno dell’Unione Europea (UE) oppure l’unico prestatore coinvolto nell’operazione di pagamento è collocato all’interno dell’Unione.
2) Operazioni di pagamento in una valuta diversa da quella di uno Stato membro laddove entrambi i prestatori o l’unico prestatore coinvolto nell’operazione siano situati nell’Unione, per ciò che riguarda le parti delle transazioni effettuate all’interno dell’Unione.
3) Operazioni di pagamento in tutte le valute laddove soltanto uno dei prestatori sia situato nell’Unione, limitatamente alle parti delle operazioni di pagamento eseguite nell’Unione. La differenza rispetto alla PSD risiede nel fatto che quest’ultima limitava l’ambito di applicazione della Direttiva alle sole operazioni di pagamento eseguite in euro, mentre la PSD2 estende l’ambito di applicazione alle transazioni effettuate in una qualsiasi valuta, rispondendo dunque all’esigenza di armonizzazione e uniformità dei pagamenti.
Un’altra novità introdotta dalla PSD2 è la ridefinizione delle esclusioni dall’ambito di applicazione delle disposizioni contenute nella Direttiva. In particolare, l’art.3 della Direttiva prevede delle esenzioni che riguardano le seguenti categorie89:
a) Agenti commerciali→ mentre l’art.3 della PSD disponeva che l’esenzione veniva applicata alle “operazioni di pagamento dal pagatore al beneficiario effettuate tramite un
agente commerciale autorizzato a negoziare o a concludere la vendita o l’acquisto di beni o servizi per conto del pagatore o del beneficiario”, la PSD2 prevede invece
l’applicazione dell’esclusione soltanto laddove gli agenti commerciali operino per conto di una sola delle parti coinvolte nella transazione (pagatore o beneficiario), e non per conto di entrambi.
b) Telecomunicazioni→ per rimediare alle inesattezze della PSD riguardo alle esenzioni delle telecomunicazioni, che hanno comportato un’applicazione disomogenea nei vari Stati membri, la PSD2 definisce in maniera più precisa quali sono le operazioni di pagamento alle quali la Direttiva non si applica. In particolare, l’art.3 esclude dall’ambito di applicazione le “operazioni di pagamento da parte di un fornitore di reti o servizi di
comunicazione elettronica realizzate in aggiunta a servizi di comunicazione elettronica per un abbonato alla rete o al servizio: i) per l’acquisto di contenuti digitali e servizi a
89http://www.dirittobancario.it/sites/default/files/allegati/cascinelli_f._pistoni_v._zanetti_g._la_direttiv
89
tecnologia vocale, indipendentemente dal dispositivo utilizzato per l’acquisto o per il consumo dei contenuti digitali e addebitate alla relativa fattura; o ii) effettuate da o tramite un dispositivo elettronico e addebitate mediante la relativa fattura nel quadro di un’attività di beneficienza o per l’acquisto di biglietti […]”.
La norma precisa che in entrambi i casi il valore della singola operazione di pagamento non deve superare i 50 euro, mentre il valore complessivo delle operazioni di pagamento per un singolo abbonato non deve superare i 300 euro.
c) Reti a spendibilità limitata → anche in questo caso si può notare l’intento della PSD2 di delimitare con maggior precisione l’esenzione di tali reti dall’ambito di applicazione. d) ATM indipendenti → qui il cambiamento è radicale, nel senso che la PSD2 abroga l’esenzione prevista dalla PSD in base alla quale non rientravano nell’ambito di applicazione della Direttiva i “servizi, forniti da prestatori, di prelievo di contante tramite
sportelli automatici per conto di uno o più emittenti della carta, […]”. Quest’esclusione
ha portato alla proliferazione di pratiche commerciali scorrette a danno del consumatore, e visto che la PSD2 ha come principale obiettivo proprio la protezione del consumatore, ha previsto di includere gli ATM indipendenti nell’ambito di applicazione della Direttiva. La PSD2 ha introdotto anche delle innovazioni concrete per quanto concerne i servizi di pagamento, in particolare favorendo la nascita di due Third Party Players (TPP)90:
a) Payment Initiation Service (PIS) → si tratta di un servizio che consente ad un soggetto di effettuare pagamenti anziché dalla propria banca, attraverso un Payment Initiation Service Provider (PISP), ovvero un terzo soggetto che si interpone tra il pagatore e il suo conto di pagamento online.
b) Account Information Service (AIS) → si tratta di un servizio messo a disposizione degli utenti dei servizi di pagamento aventi conti online, attraverso cui il pagatore può ottenere, grazie ad una piattaforma online, un’informativa completa su tutti i propri conti di pagamento; in questo caso il TPP è rappresentato dall’Account Information Service Provider (AISP), il quale ha il compito di consentire al cliente di accedere ad informazioni relative al proprio conto online; la Direttiva precisa comunque che gli AISP non possono utilizzare i dati del cliente o effettuare l’accesso ai relativi conti di pagamento per scopi diversi da quelli previsti dal servizio.
90https://www2.deloitte.com/content/dam/Deloitte/it/Documents/technology/B_Payment%20Service
90
La presenza di questi due nuovi player, ossia i PISP e gli AISP, comporta una crescita della concorrenza nel settore dei pagamenti, in quanto le banche dovranno fare i conti con l’ingresso di nuovi soggetti che ricoprono in qualche modo un ruolo di intermediazione; tuttavia questa collaborazione potrà produrre anche dei risvolti positivi, in quanto l’affiancamento tra soggetti bancari e non bancari permetterà di realizzare strategie che consentiranno di ottenere notevoli vantaggi competitivi.
L’art.73 si sofferma invece sulle responsabilità in capo al prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate: in particolare, la norma prevede che questi debba rimborsare al pagatore in breve tempo l’importo dell’operazione non autorizzata, salvo che il prestatore non abbia fondati sospetti di frode sul pagatore e comunichi i ragionevoli motivi del sospetto per iscritto all’autorità nazionale competente. Per quanto riguarda la responsabilità del pagatore in caso di operazioni di pagamento non autorizzate, l’art.74 della nuova Direttiva attua un cambiamento rispetto alla PSD, che consiste nella riduzione da 150 a 50 euro della franchigia massima che egli potrà essere obbligato a pagare in caso di operazione non autorizzata nella quale si sono verificati smarrimento, furto o appropriazione indebita di strumenti di pagamento91.
Inoltre viene fissato un limite alle commissioni interbancarie per ogni operazione di pagamento, che è pari allo 0.2% per i pagamenti tramite carta di debito e prepagata, mentre si innalza allo 0.3% in caso di pagamenti effettuati tramite carta di credito. Sempre con l’obiettivo di tutelare il consumatore, la Direttiva introduce il divieto di “surcharge”, ossia il divieto di applicare un sovrapprezzo per l'utilizzo di un determinato strumento di pagamento.
L’art.65 della PSD2 introduce una nuova modalità di controllo della disponibilità dei fondi, ossia di “fund checking”: in particolare, la Direttiva prevede la possibilità per i prestatori di servizi di pagamento basati su carta di ricevere conferma della disponibilità di risorse per eseguire un’operazione di pagamento basata su carta92.
Per rafforzare la trasparenza nell’ambito del mercato dei servizi di pagamento, l’art.15 della PSD2 prevede l’obbligo per l’EBA (European Banking Authority) di istituire un registro elettronico centrale che contiene le informazioni notificate dalle autorità competenti riguardo agli istituti deputati a prestare servizi di pagamento, e di pubblicare
91 Tuttavia la norma precisa che tale riduzione non si applica nei casi in cui il pagatore abbia agito con dolo
o con negligenza.
91
tale registro sul proprio sito web per consentire una facile consultazione da parte dei soggetti interessati.