PSD2: struttura, tutele e impatti applicativi per operatori e consumatori

1) Finalità e quadro sistemico

La Direttiva (UE) 2015/2366 (“PSD2”) riforma in profondità il mercato dei servizi di pagamento dell’Unione, aggiorna la disciplina di trasparenza e responsabilità, integra sicurezza e concorrenza e abroga la PSD1 con applicazione dal 13 gennaio 2018.

2) Ambito oggettivo: cosa rientra

La PSD2 copre i servizi elencati nell’Allegato I: gestione dei conti di pagamento, versamenti e prelievi, esecuzione di ordini, addebiti diretti, carte e bonifici, nonché due nuovi servizi “open banking”: PISP (payment initiation) e AISP (account information).

3) Open banking: PISP e AISP, diritti e obblighi

PISP. Il pagatore ha diritto di avvalersi di un prestatore di disposizione di ordini di pagamento quando il conto è online; il PISP non detiene mai fondi, si identifica presso la banca del pagatore, usa canali sicuri, non conserva dati sensibili e non modifica i dati dell’operazione. La banca che “radica” il conto comunica senza discriminazioni, fornisce al PISP le informazioni sull’ordine ed evita trattamenti peggiorativi rispetto agli ordini disposti direttamente dal cliente. Nessun obbligo di rapporto contrattuale bilaterale banca-PISP.

AISP. L’utente ha diritto di ricorrere a servizi che aggregano informazioni di conto; l’AISP opera solo con consenso esplicito, usa canali sicuri, non accede a dati diversi dai conti designati, non chiede né conserva dati sensibili e non usa i dati per finalità ulteriori. Nessun obbligo di rapporto contrattuale banca-AISP e divieto di discriminazione nell’evasione delle richieste.

Standard di accesso e interoperabilità. La banca deve consentire a PISP e AISP l’uso delle stesse procedure di autenticazione messe a disposizione dell’utente; l’ABE/EBA definisce RTS su autenticazione e comunicazione aperta, neutrale e sicura.

4) Sicurezza: Strong Customer Authentication (SCA) e RTS

Autenticazione forte del cliente obbligatoria quando l’utente accede online al conto, dispone un pagamento elettronico o compie azioni a distanza a rischio frode. Per i pagamenti a distanza la SCA deve legare dinamicamente importo e beneficiario. L’ABE, in cooperazione con la BCE, emana RTS su requisiti SCA, esenzioni, protezione delle credenziali e standard di comunicazione.

5) Trasparenza: informazioni pre- e post-contrattuali

Il Titolo III impone condizioni chiare, oneri della prova a carico del prestatore, gratuità delle informazioni di base e possibilità di estendere alcune tutele alle microimprese. Gli articoli 44, 45, 51 e 52 sostituiscono requisiti informativi di altra normativa orizzontale quando cumulativa.

6) Responsabilità, rimborsi e franchigia

Notifica e prova. L’utente ha 13 mesi per segnalare operazioni non autorizzate o inesatte; spetta al prestatore provare autenticazione, corretta registrazione e assenza di guasti. Con PISP coinvolto, l’onere probatorio si riparte secondo competenze.

Rimborso immediato. In caso di operazione non autorizzata, la banca del pagatore rimborsa immediatamente e comunque entro fine della giornata operativa successiva, salvo sospetto ragionevole di frode comunicato all’autorità. Se il PISP è responsabile, indennizza la banca del pagatore.

Franchigia massima 50 EUR. Il pagatore sopporta al più 50 EUR per perdite da strumento smarrito, rubato o appropriato indebitamente, salvo frode o grave negligenza. Nessuna franchigia dopo la notifica di blocco e nessuna conseguenza se il prestatore non ha imposto SCA (salvo frode del pagatore).

Importo non noto in anticipo e rimborsi. Se l’importo non è noto al momento del consenso (es. pagamenti “pre-autorizzati” su carta), il blocco fondi richiede consenso a un importo predeterminato; sblocco senza indugio a conoscenza dell’importo esatto. Per operazioni disposte dal beneficiario o per suo tramite, l’utente può chiedere rimborso entro otto settimane; il prestatore rimborsa entro 10 giornate operative o motiva il rifiuto indicando le vie di ricorso.

7) Tempi di esecuzione e data valuta

Gli ordini sono ricevuti quando pervengono al prestatore del pagatore; accredito al prestatore del beneficiario entro la fine della giornata operativa successiva (più un giorno per ordini cartacei). Valuta e disponibilità seguono regole di accredito tempestive.

8) Vigilanza, reclami e ADR

Gli Stati membri designano autorità competenti indipendenti e prevedono sanzioni efficaci, proporzionate e dissuasive. Devono esistere procedure per i reclami alla banca e alle autorità, con risposta entro 15 giornate operative (fino a 35 in casi eccezionali) e con obbligo di indicare organismi ADR; le procedure ADR devono coprire diritti e obblighi dei Titoli III-IV, incluse le attività dei rappresentanti.

9) Entrata in vigore, abrogazioni e transitorio

La PSD1 è abrogata dal 13 gennaio 2018. Le misure su SCA, accesso PISP/AISP e sicurezza si applicano 18 mesi dopo l’entrata in vigore delle RTS dell’ABE; durante il transitorio è garantita la continuità operativa dei servizi di PISP/AISP e il divieto di ostacoli ingiustificati.

10) Implicazioni operative

Per i prestatori

• Allineare contratti, informative e sistemi ai requisiti del Titolo III e agli RTS su SCA e interfacce.

• Garantire non discriminazione verso PISP e AISP e piena interoperabilità delle procedure di autenticazione.

• Istituire canali di reclamo e ADR conformi, con SLA interni coerenti a 15/35 giornate operative.

Per i consumatori

• Diritto al rimborso immediato per operazioni non autorizzate e franchigia limitata a 50 EUR, salvo frode o colpa grave.

• Diritto di usare PISP/AISP con consenso esplicito, sicurezza elevata e limiti rigorosi all’uso dei dati.

• Diritto a rimborsi per operazioni disposte dal beneficiario e a tempi certi di esecuzione e valuta.

---

Assistenza ai cittadini

Se ritieni di aver subito addebiti non autorizzati, ostacoli all’uso di PISP/AISP, o pratiche commerciali scorrette connesse a pagamenti, puoi rivolgerti ad ADICU APS per assistenza nella tutela dei tuoi diritti, nella gestione del reclamo e nell’eventuale attivazione delle procedure ADR o giudiziali.