In sostanza, PSD2 intende fare ordine in un contesto di incertezza giuridica generale, con potenziali rischi per la sicurezza dei pagamenti e la protezione dei consumatori.Quello di cui forse si è detto ancora poco, proprio in relazione all’obiettivo ultimo della PSD2 (ossia rafforzare la fiducia dei consumatori nei confronti dei pagamenti digitali online), è il ruolo non solo di abilitatori ma anche di facilitatori dei cosiddetti trust services, i servizi fiduciari regolamentati da eIDAS.
Prendiamo, a titolo di esempio, uno dei punti cardine della direttiva: quello dell’identificazione certa.
Il tema ha due declinazioni, dal momento che la direttiva prevede che debbano essere identificati in modo certo sia il pagatore, sia i prestatori dei servizi di pagamento.
Dal punto di vista dell’identificazione del pagatore, attraverso uno specifico regolamento tecnico definito da EBA (European Banking Authority), è stata introdotta l’obbligatorietà della strong customer authentication, che prevede l’obbligo, da parte dei prestatori di servizi di pagamento (PISP e AISP), di garantire l’accesso ai conti di pagamento o l’esecuzione di disposizioni attraverso un’autenticazione forte, basata su un sistema a due fattori. Si tratta di un provvedimento accolto con poco entusiasmo dai prestatori dei servizi, che, pur convenendo sulla assoluta necessità della misura, vedono in essa una minaccia alla customer experience del pagatore, abituato a sistemi agili di “one click pay” come quelli offerti, ad esempio, da Amazon.
Esistono però soluzioni trust che garantiscono la piena applicazione di quanto richiesto dalla normativa senza minare le abitudini acquisite dai pagatori. InfoCert ha brevettato STS - Secure Transaction Service, una piattaforma integrabile nelle App di pagamento mobile che consente di distribuire su più soggetti, tra loro indipendenti, l’autorizzazione di una transazione, garantendo al contempo l’autenticazione forte del cliente attraverso una OTP “silente”.
Con STS la App di pagamento diventa auto-consistente dal punto di vista della sicurezza, senza la necessità di doversi affidare ai layer hardware/software sottostanti, per garantire un adeguato livello di affidabilità della transazione. STS inoltre consente controlli molteplici, legando insieme identità del pagatore, volontà di disporre il pagamento e l’importo della transazione stessa, garantendo il c.d. “dynamic linking” (altro requisito previsto dalla PSD2).
Sul fronte dell’identificazione certa dei prestatori dei servizi di pagamento, invece, la novità introdotta da PSD2 è quella di richiedere a PISP e AISP di qualificarsi sempre in maniera chiara e univoca, sulla base di certificati, così che sia possibile tracciare in modo completo qualsiasi tentativo di accesso ai conti di pagamento dell’utente. Non saranno più possibili, in sostanza, pratiche come lo screen scraping, ossia l’accesso ai dati contenuti su un sito web, ad esempio l’internet banking, attraverso l'uso di applicazioni software che “simulano” di essere l’utente.
In questo caso è la Direttiva stessa che chiama in causa due servizi trust regolati da eIDAS e che InfoCert già ha reso disponibili sul mercato: il sigillo elettronico qualificato (qualified electronic seal) e i certificati di autenticazione per i siti web.
Concludendo, la PSD2 ha creato un contesto estremamente sfidante, che richiede un grande sforzo di adeguamento ma offre anche molte opportunità. Saper scegliere le soluzioni più appropriate e affidarsi al partner giusto sarà fondamentale per coglierle.
In foto Denny Bellotto, Digital Consulting - Process & Compliance di InfoCert – Gruppo Tecnoinvestimenti
