Il 19 dicembre 2014 l’Autorità Bancaria Europea (EBA) pubblicò le Linee Guida definitive in ambito di Sicurezza dei Pagamenti tramite Internet. Ai sensi dell’articolo 16 del regolamento EBA, le autorità nazionali e le istituzioni finanziarie degli Stati membri erano chiamate a compiere ogni sforzo per adottare le Linee Guida, sebbene ciò non fosse obbligatorio; inoltre, erano tenute a comunicare la loro decisione all’EBA entro il 5 maggio 2015.
Notifiche di conformità
Lo scorso 21 maggio l’EBA ha pubblicato le notifiche di conformità ricevute. Da queste emerge che 26 autorità nazionali hanno dichiarato che si conformeranno alle Linee Guida (Belgio, Bulgaria, Repubblica Ceca, Danimarca, Germania, Irlanda, Grecia, Croazia, Spagna, Francia, Italia, Lettonia, Lituania, Lussemburgo, Ungheria, Malta, Olanda, Austria, Polonia, Portogallo, Romania, Slovenia Finlandia, Gibilterra, Liechtenstein e Norvegia); 2 hanno indicato la conformità parziale (Cipro e Svezia) e 4 hanno riferito che non si atterranno (UK, Estonia, Slovacchia e Islanda).
Un’ampia maggioranza di autorità nazionali, quindi, recepirà le Linee Guida. Credo, pertanto, che uno degli obiettivi principali, vale a dire l’armonizzazione della sicurezza dei pagamenti su Internet attraverso l’Europa, può essere raggiunto.
Il punto di vista della FCA
Una delle più importanti autorità nazionali che non applicheranno le Linee Guida è la Financial Conduct Authority (FCA) del Regno Unito. Ciò non è affatto sorprendente, in quanto è in linea con le dichiarazioni fatte dalla stessa FCA nel marzo 2014 e nell’aprile 2015 sul proprio sito web.
La FCA fornisce due ragioni per la non conformità. In primo luogo, la FCA afferma che non ha il potere di far rispettare le Linee Guida senza modifiche legislative al proprio mandato. In secondo luogo, ritiene che i requisiti delle Linee Guida implichino costi significativi per i fornitori di servizi di pagamento e, dato che non è ancora del tutto chiaro come l’imminente Payment Services Directive 2 (PSD2) influenzerà gli investimenti effettuati da questi ultimi nel contesto delle Linee Guida, la FCA preferisce attendere fino a quando la PSD2 non sarà chiara per poi adottare le Linee Guida e la PSD2 allo stesso tempo.
Una terza ragione potrebbe essere la seguente: come indicato nel terzo Rapporto della Banca Centrale Europea sulle frodi che colpiscono le carte di credito, il Regno Unito è uno dei pochi Stati membri, insieme a Svezia e Grecia, che sono riusciti a ridurre in termini assoluti i propri livelli di frode del tipo Card-Not-Present (CNP) tra il 2008 e il 2012. Dal momento che l’EBA vede l’aumento dei livelli di frode come uno dei motivi principali per l’adozione delle Linee Guida, la diminuzione delle frodi (prima ancora dell’esistenza delle Linee Guida ) potrebbe essere vista come una buona ragione per non aver bisogno delle Linee Guida.
Quindi, si può immaginare che i fornitori di servizi di pagamento nel Regno Unito erano riluttanti ad adottare le Linee Guida, dato il potenziale di costi aggiuntivi per la conformità alla PSD2 e dato che essi avevano già ridotto le frodi CNP.
L’effetto delle notifiche di conformità
I fornitori di servizi di pagamento che operano in un Paese la cui autorità nazionale ha deciso di applicare le Linee Guida devono conformarsi entro l’1 Agosto 2015.
In particolare, questo significa che essi devono implementare la strong authentication a due fattori quando i clienti consultano dati sensibili di pagamento e quando avviano un pagamento.
I fornitori britannici di servizi di pagamento hanno ora un vantaggio competitivo rispetto a quelli di altri Paesi europei, in quanto si trovano ad affrontare un minor numero di requisiti di conformità. Ciò potrebbe indurre i fornitori esterni al Regno Unito a trasferirsi lì per sfuggire alle prescrizioni fino a che la PSD2 non sarà entrata in vigore.
