PSD2: la nueva directiva de pagos online

El próximo 31 de diciembre expirará la moratoria que se aplicó para la nueva Directiva Europea de Servicios de Pago conocida como PSD2. Esto quiere decir que a partir del 1 de enero de 2021 se empezarán a aplicar los cambios legislativos de la misma. ¿Qué significa esto para los negocios online? ¿Y para los consumidores? ¿Cuáles son las consecuencias si no se cumple con la nueva directiva? Sigue leyendo para descubrir las respuestas a estas preguntas. 

A día de hoy, el fraude online está causando más de mil millones de euros al año en daños en toda la Unión Europea, y es muy probable que esta cifra continúe aumentando a medida que se desarrolla el comercio electrónico.

Por este motivo, y con el fin de reducir esta cifra, en enero de 2018 entró en vigor la ley sobre la nueva normativa europea de pagos online conocida como PSD2 (Payment Services Directive 2).

Su aplicación estaba prevista para el 14 de septiembre de 2019 pero, dada la complejidad de su aplicación, la Autoridad Bancaria Europea (ABE) aprobó una moratoria de entre 12 y 14 meses.

Pues bien, esta moratoria llegará a su fin el 31 de diciembre de 2020 y a partir del 1 de enero de 2021 se empezarán a aplicar los cambios legislativos de la PSD2. 

Esta nueva directiva europea aborda diversos aspectos para actualizar el marco legal de los pagos por internet que afectarán tanto a los consumidores como a los comerciantes online y entidades financieras. En definitiva, hace referencia a la autenticación reforzada de cliente o SCA (Strong Customer Authentication) que tiene como finalidad proteger mejor a los consumidores europeos contra el fraude en sus compras online. 

Pero, ¿qué es exactamente la autenticación reforzada y qué cambiará para ti como comerciante online y para tus clientes?

¡Descúbrelo en este artículo!

íNDICE

1. ¿Qué es la autenticación reforzada o SCA (Strong Customer Authentication)?

2. La autenticación reforzada será obligatoria en las compras online - ¿Qué significa esto para los comerciantes?

3. ¿Cuáles son las consecuencias si no cumples con la nueva directiva?

4. ¿Existen excepciones a la autenticación reforzada?

5.  Conclusión

¿Qué es la autenticación reforzada o SCA (Strong Customer Authentication)?

Cuando un usuario realiza una transacción de pago online, es necesario asegurarse de que esta persona está realmente autorizada a hacerlo. Esto se consigue mediante la autenticación reforzada.

La autenticación reforzada consiste en solicitar al comprador un segundo factor de identificación antes de realizar un pedido, como por ejemplo, un código PIN que el cliente recibe en su teléfono móvil y que debe introducir en tu sitio para validar su compra.

De acuerdo con la directiva PSD2, la autenticación reforzada existe cuando se utilizan al menos dos de los siguientes elementos para la autenticación:

• Conocimiento (algo que sólo el consumidor sabe, por ejemplo, contraseña, código PIN, datos de acceso, etc.)

• Posesión (algo que sólo el consumidor tiene, por ejemplo, un móvil donde llega un SMS para verificar la operación, dirección de correo electrónico, etc.)

• Inherencia (algo que el consumidor es, por ejemplo, la posibilidad de verificación biométrica, ya sea por huella dactilar, reconocimiento facial, etc.)

Estos elementos son independientes entre sí. Es decir, que la vulneración de uno no compromete la fiabilidad de los demás, y concebida de manera que se proteja la confidencialidad de los datos de identificación.

Probablemente ya conozcas este proceso del online banking. Si quieres realizar una transferencia, necesitas tu PIN para iniciar sesión (algo que sabes) y un código que se envía a tu dispositivo móvil (algo que posees).

De esta manera, el mal uso de los datos de los usuarios será mucho más difícil para las personas no autorizadas ya que, por norma general, no tendrán a disposición el teléfono móvil del usuario para poder realizar el pago.

Por lo tanto, la autenticación reforzada o SCA, trata de proteger mejor al comprador ante cualquier posible fraude mediante la presencia obligatoria de los dos factores.

La autenticación reforzada será obligatoria en las compras online - ¿Qué significa esto para ti como comerciante?

Según la Directiva de Servicios de Pago de la UE 2015/2366 PSD2, la autenticación reforzada será obligatoria para las tiendas online a partir de su aplicación. Pero no todos los métodos de pago están afectados de igual forma por la Directiva (PSD2):

1. La domiciliación bancaria: No necesita de autenticación reforzada. 

2. Transferencia inmediata/Giropay: Están basados en un sistema bancario online, por lo que siempre están asegurados a través de los TANs que se emite a través de un segundo dispositivo, como un smartphone. Por lo tanto, este sistema tiene por ende la autenticación reforzada. 

3. Paypal: Depende del tipo de servicio de pago que se utilice. El pago del importe de Paypal puede realizarse por débito directo o por medio de tarjeta de crédito. Si se utiliza el pago por débito directo no es necesario aplicar la autenticación reforzada. Si por el contrario se utiliza la tarjeta de crédito, se necesita la autenticación reforzada. 

4. Tarjeta de crédito: Debe aplicarse la autenticación reforzada. 

Los proveedores de servicios de pago deben garantizar el cumplimiento de los requisitos, no los propios comerciantes de las tiendas online. En otras palabras, los proveedores como Paypal, Amazon Pay y las compañías de tarjetas de crédito deben ajustar sus procedimientos de pago aplicando la autenticación reforzada.

No obstante, los comerciantes están obligados a verificar que los proveedores de servicios de pago cumplan con estos requisitos.  

Actualmente, algunos proveedores de pago aún están trabajando en esta implementación, por lo que aún no es posible saber cómo funcionará exactamente la SCA según los diferentes proveedores.

Te recomiendo permanecer atento a la evolución de tus proveedores de pago con el fin de realizar los cambios necesarios y actualizar los textos legales de tu tienda a tiempo.

Seguramente al principio aumente la tasa de carritos abandonados debido al desconocimiento del nuevo proceso de pago. Sin embargo, gracias a la nueva normativa, el número de fraudes en Internet se verá reducido y esto garantizará más seguridad para los compradores online y, por consiguiente, tu número de clientes aumentará a la larga.

¿Cuáles son las consecuencias si no cumples con la nueva directiva?

Si alguien se hace pasar por tu cliente para realizar una compra en tu tienda, el pago es aceptado y no hay una autenticación reforzada establecida para este método de pago en tu sitio, el banco le reembolsará a la persona a la que le han robado los datos los importes indebidamente debitados, y te exigirá a ti o a tu proveedor de servicios de pago el reembolso de estos importes.

¿Existen excepciones a la autenticación reforzada?

Como en muchas otras normativas, también existen algunas excepciones a la autenticación reforzada. Estas son las siguientes:

• Los usuarios pueden, por ejemplo, crear sus propias listas blancas en el online banking con destinatarios de pago de confianza y de esta manera no se les requerirá a estos usuarios la autenticación reforzada. (Consejo: Presta atención a la lealtad de tus clientes para que también tú puedas beneficiarte de una lista blanca junto con los principales comerciantes).

• Los usuarios que hayan realizado una compra a través del móvil y, los datos de la tarjeta se hayan guardado en él, estarán exentos de la SCA.

• Para los pagos o transacciones inferiores a 30 euros no se necesitará la autenticación reforzada, siempre que no sean más de 5 veces al día o llegue a los 100 euros en 24 horas.

Conclusión

No cabe duda que la nueva legislación fortalecerá el comercio electrónico para compradores y vendedores incrementando de esta manera los niveles de seguridad y garantizando una mayor confianza a la hora de realizar pagos online.

Aunque está en manos de los proveedores de servicios de pago el implementar la autenticación reforzada o SCA, como comerciante online, estás obligado a verificar que tus proveedores de servicios de pago realizan la implementación y cumplen con los requisitos. Después deberás actualizar los textos legales de tu tienda online para dar a conocer a tus clientes todo lo que deben hacer para realizar una compra.