Payments Package e PSD3: così la Ue guida l’innovazione nei pagamenti

Per fare fronte alle continue evoluzioni e alle continue trasformazioni che caratterizzano il panorama finanziario e il mondo dei pagamenti digitali, la Commissione Europea ha deciso di costituire l’aggiornamento del quadro normativo, col fine di affrontare le sfide e le opportunità dell’attuale ecosistema dei pagamenti.

La genesi del nuovo Payments Package

Questo processo, durato diversi mesi, è sfociato, il 28 giugno 2023, nella presentazione di una proposta legislativa contenente il nuovo “Payments Package” (pacchetto di norme contenente la terza Direttiva sui Sistemi di Pagamento (PSD3), il Regolamento sui Servizi di Pagamento) e il framework per l’accesso ai dati finanziari (FIDA).

La revisione della PSD2 si concretizza dunque in più elementi distinti che garantiranno ai consumatori non solo la possibilità di continuare a effettuare pagamenti e transazioni elettroniche in modo sempre più sicuro, ma anche una maggiore scelta di fornitori di servizi di pagamento. Questa norma si inserisce in un contesto più ampio: da un lato è la terza fase di un’innovazione dei pagamenti PSD, iniziata nel 2009 con l’entrata in vigore della prima direttiva, dall’altro questa viene inserita in un pacchetto più ampio di norme (Payments Package) volte a spingere l’innovazione nel settore fintech.

La PSD1 gettò le basi per la definizione di un contesto normato in cui attraverso le licenze di pagamento identificava in modo molto netto gli attori che avrebbero potuto giocare la partita dell’innovazione dei pagamenti e definiva il campo da gioco.

La PSD2, per certi versi, fu fortemente rivoluzionaria inserendo regole del gioco nuove volte a garantire maggior sicurezza per gli utenti (ad esempio SCA) e maggior servizio al cliente (ad esempio tramite l’Open API). Tuttavia, la rivoluzione della PSD2 non è ancora stata pienamente colta dagli attori di mercato, in particolare quelli italiani, che sembrano voler giocare con “regole tradizionali” in un campo nuovo con giocatori nuovi.

Infine, ancor prima che la PSD2 avesse finito di far vedere i suoi effetti, viene promulgata la PSD3 che, per certi versi in modo meno rivoluzionario, cerca di rafforzare la portata innovativa di questo mercato per spingere i nuovi attori a usare le nuove regole e i vecchi attori ad arroccarsi meno nei territori già conosciuti. Sarà certamente interessante monitorare quello che accadrà nei prossimi anni.

Perché era necessaria una revisione della PSD2

Nel corso del 2022 la Commissione Europea ha deciso di effettuare una valutazione sull’andamento della normativa attualmente in vigore, per analizzarne vari aspetti ritenuti cruciali. Da questa analisi è emerso che la PSD2 ha in gran parte raggiunto gli obiettivi che si era prefissata, riducendo le frodi grazie alla SCA e migliorando l’efficienza, la trasparenza e ampliando le scelte dei consumatori finali sugli strumenti di pagamento. Nonostante questo, lo spazio di manovra è ancora molto ampio ed è stato necessario rimodellare la normativa per risolvere quattro problematiche principali:

• la sfiducia da parte dei consumatori nei pagamenti elettronici e il rischio delle frodi: secondo le statistiche riportata dalla BCE a maggio 2023, l’ammontare totale delle frodi per le carte di pagamento sfiora gli 1,53 miliardi di euro, valore ancora alto, nonostante l’introduzione della SCA abbia ridotto l’ammontare delle frodi sul card-not-present del 12%[1].
• un terreno di gioco dove la concorrenza è ancora in parte “sbilanciata” in favore degli attori tradizionali rispetto agli attori “non-banking”. Gli istituti di pagamento e gli istituti di moneta elettronica sono infatti dipendenti dalle banche commerciali per l’apertura del conto e dell’utilizzo delle infrastrutture tramite i quali possono anche loro offrire servizi di pagamento. Può accadere dunque che le banche tradizionali si rifiutino di aprire questi conti adducendo motivazioni poco specifiche e circoscritte (spesso questi operatori fanno riferimento ai controlli AML che dovrebbero effettuare in queste circostanze).
• Il funzionamento dell’Open Banking non ancora a regime: il potenziale dell’Open API è ancora inespresso, basti pensare che, secondo le stime dell’Osservatorio Innovative Payments del Politecnico di Milano, in Italia nel 2022 sono state totalizzate solamente 29 milioni di chiamate PIS (per servizi di Payment Initiation) e 236 milioni di chiamate AIS (per servizi di Account Information) da parte dei 144 TPP (operatori “terzi” che accedono ai servizi dell’Open Banking) autorizzati per operare in Italia. Guardando fuori dall’Europa, in Brasile sono state già effettuate 4,9 miliardi di chiamate API, mentre nel Regno Unito operano ben 202 TPP autorizzati.
• la difficoltà da parte delle autorità nazionali competenti nell’applicare le leggi a causa di una frammentazione a livello normativo generata dalle lacune della PSD2.

Le proposte messe in atto dalla Commissione nel Payments Package

L’iniziativa portata avanti dalla Commissione con la PSD3 e il PSR (il c.d. Payment Package) prevede di risolvere queste problematiche attraverso diverse operazionii

Incrementare la protezione dei dati di pagamento degli utenti e la loro fiducia verso i sistemi di pagamento elettronici

Le misure prevedono:

• il miglioramento dell’applicazione della Strong Customer Authentication per evitare le frodi (come lo spoofing o il social engineering);
• l’estensione a tutti i bonifici (anche istantanei) dei servizi di verifica dell’abbinamento IBAN/nome;
• una base giuridica che consenta ai PSP di condividere tra loro le informazioni relative alle frodi nel pieno rispetto del GDPR (attraverso piattaforme informatiche dedicate);
• il rafforzamento del monitoraggio delle transazioni;
• l’obbligo per i PSP di svolgere azioni educative per aumentare la consapevolezza delle frodi nei pagamenti tra i loro clienti e il personale;
• l’estensione dei diritti di rimborso dei consumatori in determinate situazioni.

Lavorare per migliorare i diritti dei consumatori finali

Attraverso le seguenti azioni:

• accelerare lo sblocco dei fondi bloccati sulle carte di pagamento e garantire che l’importo bloccato sia proporzionale all’importo finale previsto;
• aumentare la trasparenza, non solo sui trasferimenti cross-border (evidenziando tempistiche e spese di conversione), ma anche sull’identificazione del beneficiario negli estratti conto e sulle fee che gli ATM degli altri operatori (PSP) applicano per il prelievo dei fondi;

• migliorare la disponibilità di contante per i consumatori permettendo ai retailer di offrire al cliente finale il servizio di prelievo di denaro fino ad un massimo di 50 euro anche in assenza di un acquisto. La nuova proposta prevede da un lato che gli operatori indichino in maniera trasparente le commissioni, dall’altro l’aumento del numero di operatori che non gestiscono conti di pagamento che possono offrire questa tipologia di servizio anche senza licenza (con la PSD2 i parametri di esclusione erano di difficile applicazione).

• Favorire lo sviluppo dell’Open Banking in tutta Europa, senza però promuovere dei cambiamenti radicali che possano stravolgere lo status-quo e far incorrere gli operatori in ingenti costi di implementazione, proteggendo così la continuità del loro business. Tra le altre cose, le banche e gli altri fornitori di conti di pagamento dovranno creare una dashboard che consenta ai consumatori di avere una vista omnicomprensiva sulle autorizzazioni fornite e di revocare l’accesso ai loro dati proprio attraverso questo “cruscotto”. Per i PSP inoltre sarà necessario creare delle interfacce di Open Banking dedicate all’accesso dei dati dei loro clienti, che dovranno essere sempre utilizzate salvo eccezioni (malfunzionamenti, etc..) in cui gli operatori dovranno chiedere al regolatore di usare un’altra interfaccia, ad esempio quella che la banca utilizza con i suoi clienti commerciali.

Stabilire un “level playing field” fra banche commerciali e gli attori non bancari (IP e IMEL)

Ci sarà un obbligo più stringente per le banche di motivare il perché hanno negato l’accesso al conto (o la sua chiusura) ad un PSP non bancario, tenendo in considerazione la condizione specifica dell’attore in questione. Quest’ultimo potrà appellarsi a un’autorità nazionale per contestare un eventuale decisione. Oltre alle banche commerciali, anche le banche centrali potranno fornire servizi di conto ai PSP non bancari, a loro discrezione. Oltre a questa operazione, il nuovo regolamento concede la possibilità di partecipazione diretta di IP e IMEL a tutti i sistemi di pagamento, compresi quelli designati dagli Stati membri ai sensi della SFD (Direttiva europea sulla Settlement Finality), con ulteriori chiarimenti sulle procedure di ammissione e di valutazione del rischio.

Creare una regolamentazione specifica che possa far convergere la PSD2 con la E-Money Directive

Creare una regolamentazione specifica garantendo una applicazione consistente, semplice e soprattutto armonizzata dei requisiti per IP e IMEL, che fornisca anche dei chiarimenti di alcuni elementi ad oggi ambigui (es. alcune definizioni come “fondo”, “conto di pagamento” o “strumento di pagamento”) al fine di disincentivare una situazione di arbitraggio generata da condizioni regolamentari poco coerenti e strutturate.

Cosa prevede il framework per l’accesso ai dati finanziari (FIDA)?

Come anticipato nella parte introduttiva di questo articolo, il 28 giugno la Commissione Europea ha presentato anche una nuova iniziativa legislativa che intende regolare l’accesso, la condivisione e l’utilizzo dei dati dei clienti nel settore finanziario, stabilendo dunque un quadro di riferimento in ottica Open Finance, garantendo l’accesso per i clienti ad un’ampia gamma di servizi finanziari.

Il quadro di riferimento per l’accesso ai dati finanziari è necessario per diversi motivi:

• l’attuale modalità di accesso ai dati dei clienti non è regolamentata e non è supervisionata, con conseguenti rischi per i consumatori finali;
• i clienti non hanno il controllo sui loro dati necessari per accedere a servizi a valore aggiunto che vanno oltre il pagamento ed esitano a condividerli senza regole e strumenti chiari. Anche nel caso in cui vogliano garantire l’accesso a questi dati, le regole sulla condivisione non sono chiare o assenti;
• la condivisione dei dati è costosa e incoerente a causa della mancanza di standardizzazione dell’infrastruttura tecnica

Di conseguenza, è più difficile per i nuovi operatori di mercato e per i piccoli fornitori di servizi innovativi offrire prodotti su misura che potrebbero meglio adattarsi alle esigenze specifiche dei clienti, che pagheranno tariffe più elevate per i servizi già in essere a causa della concorrenza limitata. Queste barriere perpetuano anche un’esperienza non ottimale per i clienti degli istituti finanziari, i quali non sono in grado di sfruttare nuove proposition data-driven e perdono così opportunità commerciali.

Per risolvere queste questioni, la Commissione ha deciso di adottare diverse policy, ognuna volta a raggiungere uno specifico obiettivo:

• accrescere la fiducia dei clienti finali nella condivisione dei dati: per fare questo, l’Unione vuole rendere obbligatorio l’uso obbligatorio di cruscotti per l’autorizzazione all’accesso ai dati finanziari, la definizione di regole su chi può accedere ai dati dei clienti e l’integrazione di tali regole con altre garanzie, tra cui linee guida che proteggano il consumatore da trattamenti iniqui o rischi di esclusione;
• perseguire chiarezza a livello giuridico: per questo motivo la Commissione vuole obbligare i detentori dei dati (siano essi istituti di credito, PSP, etc..) a condividere le informazioni dei consumatori con coloro che li utilizzano (i c.d. data holders), sempre previa autorizzazione da parte dei clienti a cui i dati si riferiscono;
• promuovere la standardizzazione delle interfacce e dei dati degli utenti, richiedendo agli operatori di mercato di sviluppare congiuntamente, all’interno degli schemi di condivisione dei dati, dei modelli comuni ed interoperabili che garantiscono l’interazione tecnica necessaria;
• promuovere l’implementazione di interfacce ad alta qualità per la condivisione dei dati dei clienti, così da facilitare l’accesso a questi ultimi. Il framework prevede che le istituzioni finanziarie predispongano interfacce tecniche (API) implementando gli standard comuni per i dati dei clienti. I costi di costruzione e manutenzione di queste interfacce sono tuttavia remunerati con delle compensazioni che gli utilizzatori dei dati dovranno versare per poter effettivamente avere accesso a queste informazioni.

Fra le altre novità introdotte dal regolamento FIDA vi è l’istituzione di nuovi soggetti, definiti come “financial information service providers” (FISP), ossia quegli attori (istituti finanziari o altre aziende, precedentemente denominati “data users”) che hanno ricevuto l’autorizzazione per l’accesso ai dati dei consumatori e che possono sfruttarli per offrire servizi di informazione finanziaria. Questo nuovo soggetto è dunque diverso dall’AISP che già conosciamo con la PSD2, in quanto quest’ultimo si riferisce alle sole informazioni relative ai conti di pagamento.

Quando potremo vedere implementate queste nuove misure

L’iter di attuazione di questi nuovi regolamenti è spesso lungo e complesso e può essere soggetto a variabili impreviste, per cui è difficile stabilire a priori una data precisa in cui potremo vedere concretizzate queste misure. Per prima cosa, il Parlamento Europeo e il Consiglio dell’Unione Europea dovranno analizzare e approvare la proposta. Successivamente la Commissione Europea dovrà promulgare le varie normative e pubblicare queste nuove leggi all’interno della Gazzetta Ufficiale dell’Unione Europea. Il PSR, la PSD3 e il FIDA entreranno in vigore 20 giorni dopo la pubblicazione, con gli Stati Membri che hanno dai 18 ai 24 mesi per recepire e attuare queste nuove disposizioni (18 -24 per PSR, 18 per PSD3 e 24 per FIDA). Quasi sicuramente, dunque, prima di vedere trasposte queste nuove proposte all’interno della legislazione degli Stati Membri, dovremo attendere almeno il 2027/2028.

Note

[1] Card fraud in Europe declines significantly, European Central Bank, 2023