A seguire proponiamo una sintesi degli elementi chiave del dibattito e dei pareri dell’ABE sui quattro emendamenti proposti dalla Commissione:
1. Controllo di sicurezza indipendente sull’esenzione da Strong Customer Authentication basata sull’analisi del rischio delle transazioni.
Ai fornitori di servizi di pagamento sarà richiesto che revisori indipendenti di sicurezza controllino la loro metodologia di rischio delle transazioni, il loro modello di rischio e i tassi di frode sui pagamenti riportati. L’ABE e la Commissione sembrano concordare su questo principio, ma ci sono divergenze sulla formulazione giuridica più appropriata per descrivere i revisori a ciò qualificati. La Commissione ha proposto la formulazione di “revisori legali”, mentre l’ABE ritiene che sia più appropriata quella di “revisori con competenza in materia di IT security e pagamenti e operativamente indipendenti dal fornitore di servizi di pagamento".
2. Nuova esenzione dalla Strong Customer Authentication per alcuni processi di pagamento aziendali.
La Commissione ha proposto di aggiungere un’esenzione dalla SCA se i pagamenti aziendali vengono eseguiti utilizzando determinati processi o protocolli che raggiungono un elevato livello di sicurezza. L’ABE sembra d’accordo con questo principio, ma suggerisce un modo diverso per incorporare questa esenzione nella norma tecnica di regolamentazione.
Più in particolare, la norma ora suggerisce di aggiungere una nuova categoria nell’ambito della già esistente esenzione basata sull’analisi del rischio delle transazioni: tale categoria andrebbe riferita ai pagamenti nei quali i pagatori non sono consumatori, a condizione che il tasso di frode sui pagamenti sia equivalente o inferiore a un certo tasso soglia.
3. I fornitori di servizi di pagamento dovrebbero segnalare le frodi sui pagamenti direttamente all’ABE.
La Commissione ha proposto che, oltre ai dati aggregati sulle frodi, i fornitori di servizi di pagamento forniscano all’ABE anche dati e rapporti sui casi individuali di frodi sui pagamenti. L’ABE è d'accordo con questa proposta, ma ha anche suggerito dei cambiamenti per assicurarsi di ricevere questi dati aggiuntivi solo su richiesta e per evitare doppi obblighi di reporting per i fornitori di servizi di pagamento.
4. Misure d’emergenza in caso di indisponibilità o inadeguatezza delle prestazioni dell’interfaccia di comunicazione dedicata delle banche.
La PSD2 consente alle banche di offrire un'interfaccia di comunicazione dedicata ai cosiddetti Third Party Providers (TPP), come Account Information Services Providers (AISP) e Payment Initiation Service Providers (PISP). Ad esempio, le banche devono esporre una funzione API che consente ai TPP di controllare lo stato dei conti dei propri clienti.
La Commissione ha proposto che in caso di indisponibilità o funzionamento inadeguato dell’interfaccia dedicata, la banca permetta ai TPP di utilizzare la normale interfaccia di comunicazione con gli utenti della banca. In altre parole, ai TPP sarebbe consentito di ricorrere “all’accesso diretto” o allo “screen scraping” per accedere ai sistemi di una banca quando questi non siano disponibili o non funzionino in modo adeguato.
L’ABE non è d'accordo con questo emendamento per diverse ragioni: ad esempio, ci sarebbero costi aggiuntivi per le banche, potrebbe verificarsi una frammentazione delle interfacce offerte dalle banche ai TPP o, ancora, i clienti potrebbero essere confusi dalle varie interfacce. L’ABE suggerisce di aggiungere alla norma tecnica di regolamentazione alcuni requisiti che mirano a garantire il livello di servizio delle interfacce dedicate delle banche.
Con il suo parere sulle interfacce di comunicazione dedicate, l’ABE si oppone alla modifica della Commissione, che era stata fortemente sostenuta dalle aziende fintech europee, e si schiera in favore delle banche.
Ora tocca alla Commissione prendere la decisione finale sul testo della norma tecnica di regolamentazione e adottarla. Tuttavia, il Consiglio Europeo e il Parlamento europeo hanno ancora un diritto di controllo. Una volta adottata e pubblicata nella Gazzetta Ufficiale dell’Unione Europea, la norma tecnica di regolamentazione sarà applicabile dopo 18 mesi.
