El 14 de septiembre de 2019 empieza a aplicarse el Reglamento Delegado (UE) 2018/389: autenticación reforzada en pagos electrónicos y banca en línea, con margen adicional para el comercio electrónico.
El 14 de septiembre de 2019 empieza a aplicarse el Reglamento Delegado (UE) 2018/389, la norma técnica de la segunda directiva europea de servicios de pago (PSD2) que desarrolla la autenticación reforzada del cliente (SCA, por sus siglas en inglés). A partir de esa fecha, los bancos y demás proveedores de servicios de pago deben exigirla cuando el cliente accede a su cuenta en línea, inicia un pago electrónico o realiza por un canal remoto una operación que pueda implicar riesgo de fraude. Uno de sus objetivos es reducir el fraude en el proceso de autenticación.
Qué exige la autenticación reforzada
La SCA consiste en comprobar la identidad del cliente con dos o más elementos de tres categorías: algo que sabe (una contraseña o un PIN), algo que posee (el teléfono o la tarjeta) y algo que es (la huella dactilar u otro dato biométrico). Los elementos deben ser independientes: que se vulnere uno no debe comprometer a los demás.
La opinión de la Autoridad Bancaria Europea (EBA) del 21 de junio de 2019 aclara qué métodos valen. Los datos impresos en la tarjeta (número, caducidad y código de seguridad) no sirven ni como conocimiento ni como posesión. Un código por SMS puede servir, pero lo que se comprueba entonces es la posesión del teléfono, en concreto de la tarjeta SIM, y no el mensaje; y las aplicaciones móviles pueden acreditar la posesión si el dispositivo queda vinculado al cliente.
Excepciones y margen adicional
El reglamento prevé excepciones. Entre ellas, los pagos sin contacto de hasta 50 euros por operación (con un tope acumulado de 150 euros o cinco operaciones), los pagos remotos de hasta 30 euros (con un tope acumulado de 100 euros o cinco operaciones) y la consulta del saldo y de los movimientos recientes, que no exige repetir la autenticación cada vez, siempre que se haga al menos cada 90 días. También se contemplan los beneficiarios de confianza, los pagos recurrentes y un análisis de riesgo de la operación, con umbrales de 100, 250 y 500 euros según la tasa de fraude del proveedor.
Además, la EBA reconoce en esa opinión que algunos actores de la cadena de pagos, en particular los comercios en línea, pueden no estar listos el 14 de septiembre. Por eso acepta, de forma excepcional, que las autoridades nacionales competentes den a los proveedores de servicios de pago un tiempo adicional limitado para migrar, con una condición: que tengan un plan de migración acordado con su autoridad y lo ejecuten con urgencia. La EBA subraya que no puede mover la fecha de aplicación, fijada en la norma europea, y que comunicará más adelante en 2019 los plazos para completar la migración.
Qué cambia para el usuario
Para el cliente, el cambio se nota en más pasos al entrar en la banca en línea y al pagar por internet: una contraseña o un PIN más un código enviado al móvil, una aplicación del banco o la huella dactilar. Es posible que durante el periodo de migración algunas compras con tarjeta sigan procesándose con el sistema anterior, siempre que la entidad tenga su plan acordado con el Banco de España, que el 11 de septiembre anunció que lo revisará.
Conviene comprobar que el banco tiene el número de móvil actualizado y que la aplicación o el dispositivo de verificación están activados, porque sin ellos un pago o un acceso podría rechazarse. Los códigos y las claves no se facilitan a terceros, ni siquiera a quien se presente como empleado del banco. Las empresas que cobran por internet deben preguntar a su proveedor de pagos cuál es su plan de migración. Consulte con su entidad cómo lo aplica a sus cuentas y tarjetas.
La seguridad de un pago ya no descansa en un solo dato, sino en la combinación de dos.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
