El 14 de setembre del 2019 comença a aplicar-se el Reglament Delegat (UE) 2018/389: autenticació reforçada en pagaments electrònics i banca en línia, amb marge addicional per al comerç electrònic.
El 14 de setembre del 2019 comença a aplicar-se el Reglament Delegat (UE) 2018/389, la norma tècnica de la segona directiva europea de serveis de pagament (PSD2) que desenvolupa l’autenticació reforçada del client (SCA, per les sigles en anglès). A partir d’aquesta data, els bancs i els altres proveïdors de serveis de pagament l’han d’exigir quan el client accedeix al seu compte en línia, inicia un pagament electrònic o fa per un canal remot una operació que pugui implicar risc de frau. Un dels seus objectius és reduir el frau en el procés d’autenticació.
Què exigeix l’autenticació reforçada
La SCA consisteix a comprovar la identitat del client amb dos o més elements de tres categories: alguna cosa que sap (una contrasenya o un PIN), alguna cosa que posseeix (el telèfon o la targeta) i alguna cosa que és (l’empremta dactilar o una altra dada biomètrica). Els elements han de ser independents: que se’n vulneri un no ha de comprometre els altres.
L’opinió de l’Autoritat Bancària Europea (EBA) del 21 de juny del 2019 aclareix quins mètodes valen. Les dades impreses a la targeta (número, caducitat i codi de seguretat) no serveixen ni com a coneixement ni com a possessió. Un codi per SMS pot servir, però el que es comprova llavors és la possessió del telèfon, en concret de la targeta SIM, i no el missatge; i les aplicacions mòbils poden acreditar la possessió si el dispositiu queda vinculat al client.
Excepcions i marge addicional
El reglament preveu excepcions. Entre aquestes, els pagaments sense contacte de fins a 50 euros per operació (amb un topall acumulat de 150 euros o cinc operacions), els pagaments remots de fins a 30 euros (amb un topall acumulat de 100 euros o cinc operacions) i la consulta del saldo i dels moviments recents, que no exigeix repetir l’autenticació cada vegada, sempre que es faci almenys cada 90 dies. També es contemplen els beneficiaris de confiança, els pagaments recurrents i una anàlisi de risc de l’operació, amb llindars de 100, 250 i 500 euros segons la taxa de frau del proveïdor.
A més, l’EBA reconeix en aquesta opinió que alguns actors de la cadena de pagaments, en particular els comerços en línia, poden no estar a punt el 14 de setembre. Per això accepta, de manera excepcional, que les autoritats nacionals competents donin als proveïdors de serveis de pagament un temps addicional limitat per migrar, amb una condició: que tinguin un pla de migració acordat amb la seva autoritat i l’executin amb urgència. L’EBA subratlla que no pot moure la data d’aplicació, fixada en la norma europea, i que comunicarà més endavant el 2019 els terminis per completar la migració.
Què canvia per a l’usuari
Per al client, el canvi es nota en més passos en entrar a la banca en línia i en pagar per internet: una contrasenya o un PIN més un codi enviat al mòbil, una aplicació del banc o l’empremta dactilar. És possible que durant el període de migració algunes compres amb targeta continuïn processant-se amb el sistema anterior, sempre que l’entitat tingui el seu pla acordat amb el Banc d’Espanya, que l’11 de setembre va anunciar que el revisarà.
Convé comprovar que el banc té el número de mòbil actualitzat i que l’aplicació o el dispositiu de verificació estan activats, perquè sense aquests un pagament o un accés es podria rebutjar. Els codis i les claus no es faciliten a tercers, ni tan sols a qui es presenti com a empleat del banc. Les empreses que cobren per internet han de preguntar al seu proveïdor de pagaments quin és el seu pla de migració. Consulti amb la seva entitat com ho aplica als seus comptes i targetes.
La seguretat d’un pagament ja no descansa en una sola dada, sinó en la combinació de dues.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
