O que é PSD2?

A Diretiva Serviços de Pagamento (PSD), originalmente adotada em 2007, é a base jurídica para o Espaço Único de Pagamentos em Euros (SEPA). PSD2 é a Diretiva Revisada sobre Serviços de Pagamento. O “2” refere-se à diretiva revisada, uma vez que substituiu a diretiva original sobre serviços de pagamento (PSD). Os regulamentos delineados no PSD2 destinam-se a proteger os consumidores e seus dados e incluem opções de pagamento mais seguras, retorno de pagamento mais rápido e define direitos de reembolso.

A PSD foi projetada para permitir pagamentos mais fáceis entre os 74 membros do Conselho Europeu de Pagamentos, bem como melhorar a proteção do consumidor para os cidadãos dos estados membros da UE. O objetivo geral da PSD era aumentar a participação e a concorrência no setor de pagamentos europeu, reunindo os prestadores de serviços de pagamento sob um único conjunto de regulamentos e padrões. Aplica-se a bancos, instituições financeiras, bem como a empresas não financeiras.

Existem isenções à diretiva PSD2, que se aplicam principalmente a transações pequenas ou consideradas de baixo risco. Isso inclui pequenos pagamentos sem contato, pagamentos feitos por empresas 'incluídas na lista de permissões', transações configuradas em uma base recorrente e outras transações que são consideradas oportunidades de fraude de 'baixo risco'.

A diretiva pretendia introduzir práticas e regras justas para a indústria de pagamentos europeia, o que foi realizado principalmente por meio do conceito de "harmonização máxima". A harmonização máxima visa considerar os direitos e obrigações dos prestadores de serviços de pagamento, ao mesmo tempo que leva em conta a necessidade de proteção ao consumidor. A intenção era encontrar um equilíbrio entre os dois por meio de regulamentações que aumentassem a concorrência, protegessem os usuários, acelerassem o processo de pagamentos e definissem claramente os direitos e procedimentos apropriados para todos os envolvidos.

Os elementos do PSD2

A diretiva consiste em dois componentes principais: regras de conduta de negócios e regras de mercado. As regras de conduta de negócios estabelecem quais informações os provedores de serviços de pagamento são obrigados a fornecer quando uma solicitação de dados é feita. Eles também detalham os direitos e obrigações adicionais dos prestadores de serviços de pagamento e clientes, incluindo diretrizes para autorizar e realizar transações e descreve as responsabilidades e processos a seguir ao emitir reembolsos ou revogações. Além disso, a diretiva estabelece uma “autoridade competente” para cada membro participante para supervisionar todas as instituições prestadoras de serviços de pagamento em seu país.

As regras do mercado introduziram a frase “instituições de pagamento” na Área Única de Pagamentos em Euros (SEPA). Essas regras definem quais instituições são elegíveis para administrar serviços de pagamento e fornecem orientação para que essas instituições se candidatem a instituições de pagamento autorizadas.

Desde então, as revisões do PSD2 foram feitas para resolver vários problemas que haviam sido negligenciados anteriormente. Por exemplo, a diretiva era originalmente bastante limitada em seu alcance; apenas transações ocorrendo entre nações no Espaço Econômico Europeu foram cobertas inicialmente.

A tecnologia necessária para PSD2

O PSD2 incentiva a participação e a concorrência ao capacitar consumidores e instituições a usar provedores de serviços de pagamento terceirizados para fazer transações e gerenciar suas finanças. Os provedores terceirizados incluem empresas financeiras, fintechs que fornecem serviços por meio de aplicativos digitais ou provedores de pagamento autônomos separados.

A diretiva exige que os provedores de serviços de pagamento exponham APIs abertas que permitam aos consumidores acessar com segurança suas próprias contas bancárias e informações por meio de provedores terceirizados. Esses provedores de serviços de pagamento se enquadram em três categorias principais:

• Os provedores de serviços de informações de contas (AISPs) podem acessar dados confidenciais para analisar padrões de gastos para obter maior inteligência de negócios .
• Provedores de serviços de iniciação de pagamento (PISPs) são os provedores de serviços que iniciam as transações para os consumidores e as organizações.
• Os provedores de serviços de pagamento de serviço de conta (ASPSP) são as instituições financeiras que oferecem contas de pagamento com acesso online, incluindo bancos, sociedades de construção, empresas de gestão de patrimônio e firmas de investimento.

Essas instituições lidam com dados pessoais confidenciais de consumidores individuais e organizações, incluindo dados de cartões, informações de contas bancárias, nomes completos, números de identificação emitidos pelo governo e muito mais. Por causa disso, as instituições que aderem ao PSD2 também devem aderir aos regulamentos de conformidade do GDPR.

Dada a natureza sensível das informações do cliente acessadas por meio de APIs abertas, o PSD2 estipula regras rígidas para proteção segura de dados, incluindo a verificação de identidades de usuário por meio de autenticação forte do cliente e permitindo que os clientes concedam consentimento e especifiquem preferências de uso de dados. A diretiva exige autenticação forte do cliente em pagamentos eletrônicos. Também estipula que as empresas devem aderir a práticas de comunicação comuns e seguras. Ao adotar essas práticas, os dados podem ser compartilhados com maior rapidez e segurança entre os provedores de serviços de pagamento e seus consumidores.

Impacto do PSD2 nos negócios digitais

O PSD2 está ajudando a mover o setor financeiro europeu na direção certa, integrando o mercado de pagamentos em toda a Europa. A motivação por trás das alterações feitas foi a capacidade de promulgar padrões bancários abertos no Espaço Econômico Europeu. O Open Banking se baseia na ideia de modernizar o sistema bancário combinando o banco tradicional, startups de fintech e outras novas tecnologias.

O Open Banking usa APIs para permitir a integração com aplicativos e servidores de terceiros. Ele também força as instituições a adotar a tecnologia de código aberto, o que significa adotar os padrões mais recentes para privacidade de dados. Se a sua instituição tem sede no Espaço Econômico Europeu ou aceita pagamentos eletrônicos de organizações da União Europeia, você está sujeito aos regulamentos PSD2.

Revisões de segurança e privacidade

A diretiva revisada protegeu melhor os consumidores, aplicando regulamentos de segurança mais rígidos e modernizando o processo de pagamento. Com as inovações dos pagamentos online e móveis e o desenvolvimento do Open Banking, as transações internacionais exigiram um processo mais seguro para proteger as informações do consumidor.

Revisões adicionais incluem a implementação de 'autenticação forte do cliente' como padrões de 'comunicação comum e segura'. Ambas as medidas são vitais para evitar fraudes em transações e garantir a segurança dos dados do titular do cartão.

Padrões de autenticação do consumidor fortes, estipulam como os provedores de serviços de pagamento devem verificar a legitimidade de suas transações eletrônicas. Esses padrões devem ser aplicados a cada pagamento, bem como a cada vez que um consumidor acessa sua conta de pagamento.

Uma regra fundamental dos padrões de autenticação do consumidor fortes é que pelo menos duas medidas de segurança devem ser utilizadas para verificação. Isso pode incluir uma senha, um PIN, digitalização de impressão digital, autenticação de cartão ou um código de autenticação gerado exclusivamente. Um dos protocolos de segurança mais comumente usados para satisfazer os padrões de comunicação seguros e comuns é o 3DS2 ou 3-D Secure.

Os padrões de comunicação comuns e seguros reforçam a autenticação de todas as comunicações entre as partes envolvidas no processo de transação. Os padrões exigem que as instituições estabeleçam canais seguros pelos quais possam se comunicar com fornecedores terceirizados para fornecer acesso seguro a dados confidenciais de consumidores e pagamentos. Um provedor terceirizado é qualquer organização que aproveita APIs de Open Banking para oferecer um serviço inovador, opção de pagamento, ferramenta ou percepção para consumidores financeiros.

Adesão ao PSD2

O cumprimento do PSD2 é satisfeito com o cumprimento de todas as obrigações descritas na diretiva específica para cada participante no processo de transação. Os padrões de comunicação comuns e seguros exigem certificação para serem compatíveis, mas os padrões de autenticação do consumidor fortes são atendidos simplesmente com a utilização de um método legítimo de autenticação.