La UE modifica los pagos online con su nueva normativa, la PSD 2
La Segunda Directiva de Servicios de Pago ya ha entrado en vigor y tiene por objetivo reforzar la seguridad.
Los pagos online a trav¨¦s de la Red llevan d¨¦cadas instaurados, pero no ha sido hasta las dos ¨²ltimas que han crecido y pr¨¢cticamente se han convertido en los favoritos de gran parte del mundo. Es c¨®modo pagar por internet, es r¨¢pido, pero a veces puede ser muy inseguro, motivo por el cual la Uni¨®n Europea ha lanzado una nueva directiva llamada PSD 2 para hacer m¨¢s seguros los pagos online en todo el territorio UE entre usuarios y empresas.
La PSD2
La Segunda Directiva de Servicios de Pago (PSD2) es una normativa que tiene por objetivo reforzar la seguridad de los servicios de pagos digitales y disminuir los fraudes que se producen al realizar transacciones online. La normativa PSD2 entr¨® en vigor el pasado 14 de septiembre de 2019 y es de obligado cumplimiento para todas las empresas del Espacio Econ¨®mico Europeo que realicen transacciones online.
La ¡°Autenticaci¨®n reforzada¡± o SCA es uno de los requisitos impuestos por la normativa por la que se obliga a un comercio a hacer una autenticaci¨®n m¨²ltiple del cliente. El objetivo con esto es confirmar que efectivamente es el mismo titular quien se est¨¢ encargando de realizar la compra online. De hecho, desde el 14 de septiembre los bancos podr¨¢n rechazar pagos que no cumplan con este requisito.
C¨®mo afecta la PSD 2 al usuario
?En qu¨¦ nos afecta en ¨²ltima instancia a los usuarios esta nueva normativa para las empresas y comercios? B¨¢sicamente en que ahora todo se har¨¢ a trav¨¦s del m¨®vil, descart¨¢ndose los elementos como las tarjetas de coordenadas -la t¨ªpica tarjeta f¨ªsica que te da el banco con una serie de c¨®digos PIN que usar para validar una operaci¨®n cuando compras online. Seg¨²n la OSI, la Oficina de Seguridad del Internauta, ¡°vas a necesitar tu dispositivo m¨®vil para poder hacer compras por Internet, ya que, desde que esta medida es obligatoria, la identificaci¨®n mediante tarjetas de coordenadas desaparece¡±.
A partir de ahora, cada entidad bancaria decidir¨¢ ¡°c¨®mo consigue identificarte de forma inequ¨ªvoca utilizando como m¨ªnimo un doble factor de autenticaci¨®n. Algunos bancos solicitar¨¢n a sus clientes instalar una aplicaci¨®n en su dispositivo m¨®vil y otros les enviar¨¢n un c¨®digo por SMS¡±.
Los m¨¦todos que la SCA exigir¨¢ y excepciones
La Autenticaci¨®n reforzada demandar¨¢ que las empresas deban usar un m¨ªnimo de 2 de los 3 m¨¦todos siguientes de autentificaci¨®n:
- Algo que posee el usuario: como por ejemplo un m¨®vil.
- Algo que conoce el usuario: como por ejemplo un PIN o una contrase?a.
- Algo inherente al usuario: como por ejemplo reconocimiento biom¨¦trico o voz.
Adem¨¢s, uno de los tres m¨¦todos deber¨¢ cumplir los siguientes requisitos o no ser¨¢ v¨¢lido:
- Preservar¨¢ la confidencialidad del resto de elementos de autenticaci¨®n;
- No podr¨¢ ser replicable, ni reutilizable;
- No podr¨¢ ser robado a trav¨¦s de Internet.
Como en todo proceso, hay excepciones, y ni las empresas ni el usuario tendr¨¢n que cumplir la nueva normativa de la UE en los siguientes casos:
- Los pagos por debajo de 30€ no necesitan autenticaci¨®n del cliente. Sin embargo, si se realizan varios pagos inferiores a esa cantidad que superen los 100€ o superan la cantidad de 5 transacciones, el banco exigir¨¢ una autenticaci¨®n.
- Los pagos que se realicen de manera recurrente o fijos quedaran exentos tras aplicarse la SCA para el primero de ellos. Las transacciones recurrentes iniciadas con anterioridad a la obligaci¨®n de la PSD2 no tendr¨¢n que ser autenticadas.
- Comercios de confianza en los que el usuario ha agregado a su ¡°lista blanca¡±.
- Aquellos pagos en los que una de las partes se encuentre fuera del Espacio Econ¨®mico Europeo.
- Los pagos realizados en persona tambi¨¦n quedar¨ªan exentos de la normativa, a menos que el pago sea realizado por medio de la tecnolog¨ªa ¡°contactless¡± y supere la cantidad de 50€.
- Pagos realizados con tarjetas corporativas.
- Ventas por tel¨¦fono.
- Operaciones cuyo pago se ha iniciado por tel¨¦fono o correo electr¨®nico.
Garant¨ªas
Seg¨²n la OSI, es importante que ¡°entiendas y conozcas cu¨¢les son las garant¨ªas que ofrecen las medidas implementadas¡±:
- Si algo falla durante el proceso de autenticaci¨®n, no se debe poder saber qu¨¦ elemento de autenticaci¨®n era incorrecto.
- El n¨²mero de intentos fallidos para bloquear de manera temporal o definitivo al usuario ser¨¢ de m¨¢ximo 5 intentos en un tiempo determinado.
- Las sesiones de comunicaci¨®n estar¨¢n cifradas y protegidas contra manipulaci¨®n por personas no autorizadas.
- Despu¨¦s de la autenticaci¨®n, el usuario no podr¨¢ permanecer inactivo m¨¢s de 5 minutos