¿Qué es la normativa PSD2?
El sábado 14 de septiembre ha entrado en vigor la normativa europea PSD2, que viene a ser la segunda revisión de la previa PSD, sigla del inglés Payment Service Directive, directiva de servicios de pagos de la UE.
Esto se traduce más bien, en una norma que las entidades deben cumplir para hacer los pagos más seguros en los comercios electrónicos y así evitar el fraude. Si eres usuario de la app de tu banco te habrás dado cuenta que este verano 2019 nos llegaban avisos indicando que a partir de septiembre todo iba a ser más fácil a través de tu teléfono móvil.
Los bancos que apuestan por la tecnología lo han hecho bastante bien, creando una sensación de refuerzo en la seguridad para sus usuarios, y es que esta directiva establece que, para realizar pagos online ya sea en tu pc o smartphone es necesario una doble autenticación.
Vamos a profundizar un poco en el tema contestando y comentando las siguientes preguntas y afirmaciones:
El fondo de esta norma aplica para que el comercio electrónico sea mucho más seguro, en la última década los fraudes y suplantación de identidad con tarjetas duplicadas y robadas han sido muy elevados. Ante esta situación no solo es necesario una tarjeta de credito o debito para pagar por internet, sino que también será necesario un segundo paso para finalizar el pago.
Los bancos ya lo venían haciendo hace bastante con el sistema 3DS1, que es el código PIN recibido por SMS al móvil. Ya veníamos con un protocolo, lo que pasa es que esta directiva europea aumenta aún más el nivel de seguridad.
Ahora se utilizará el sistema 3DS2, con esto se pedirán más datos al usuario de la tarjeta para verificar quien dice ser. Pero que no se confunda más datos con más pasos o mayor duración en el proceso del pago, se quiere crear una experiencia implícita y las nuevas tecnologías son el medio.
Hasta ahora, aparte de los datos de la tarjeta se estaba pidiendo el PIN recibido en el móvil, y se seguirá haciendo pero por norma para todos, con estos cambios desde su entrada en vigor se podrán pedir el reconocimiento facial o la huella digital, aunque la mayoría de las instituciones financieras han elegido la clave por SMS. Es una clara muestra de lo que hoy deberá ser la seguridad digital a nivel europeo. Esto nos hace recordar lo que fue el sistema de la tarjeta de coordenadas, otro sistema de hacer seguro el acceso a tu banco y a tus transacciones. Con esta normativa esto pasa a la historia.
¿Cuál es el objetivo del PSD2?
El principal objetivo es reducir el fraude online y proporcionar un alto nivel de seguridad en las compras por internet.
Ámbito de aplicación de la normativa PSD2
Como su nombre indica, esta norma aplicará solamente entre entidades de la unión europea.
Evidentemente existirán siempre en cada transacción dos participantes, uno que realiza el pago y otro que lo recibe. La norma señala a dos actores:
- Entidad emisora (Emisor de la tarjeta). La nacionalidad propia del organismo que emite debe ser original de la UE. Que no se confunda con el propietario/usuario de la tarjeta, este puede tener diferente nacionalidad.
- Entidad adquiriente (Banco o entidad financiera que recibe el dinero). Deberá ser perteneciente a la unión europea.
Por ejemplo: Si tienes un E-commerce que opera en Europa, tu banco es de la UE y tus clientes pagan con tarjetas emitidas en la UE, los pagos de tus clientes serán recibidos en tu cuenta bancaria aplicándose la directiva PSD2.
Cualquier caso que no cumpla estos dos requisitos, no estará sujeto a la directiva PSD2, por lo tanto, no será necesaria la doble autenticación y más verificaciones que se pudiesen ir sumando.
Lo contrario a este sistema va a ser por ejemplo la plataforma de pagos a través de Google Pay, su funcionamiento radica en la facilidad y en la reducción de pasos en los procesos de finalizar compra, omitiéndose hasta ahora el sistema RDS1. Solo basta con darle a un botón y comprar, tus tarjetas ya están guardadas en Google y disponibles en todos tus dispositivos con los 16 números de esta, la fecha de caducidad y el CVV. En este caso los comercios electrónicos digitales europeos, tendrán que plantearse alternativas. En Europa esto ya no tendrá cabida, ya veremos como se va a desarrollar toda esta implementación política para el sector digital. Ahora lo lógico es que Google admita este sistema y todo arreglado.
Suscríbete al boletín del blog y mucho más. ¡No te lo pierdas!. Pronto habrá novedades y nuevas noticias.
Finalidad: remitir boletines a través de la herramienta de mailing Mailchimp con contenidos y ofertas o promociones concretas. La legitimación tiene como base jurídica el consentimiento del interesado para los fines expresados. Los datos estarán en servidores ubicados en la UE o entidades acogidas al acuerdo «Privacy Shield». El usuario tiene derecho de acceso, rectificación, limitación o suprimir los datos en cualquier momento.
¿Qué efecto tendrá para las tiendas online?
Hasta ahora todos los pagos de bancos o entidades emisoras de tarjetas por ejemplo en España tienen implementada la doble autenticación, los usuarios ya conocen las medidas de seguridad en sus productos financieros y las nuevas generaciones terminarán pagando con sus móviles por huella digital o reconocimiento facial, solo es cuestión de tiempo para adaptarnos a este nuevo sistema de seguridad, viendo el comportamiento hasta hoy no será una situación que afecte, sino al contrario, aportará comodidad, usabilidad y esa seguridad extra que siempre viene bien.
Con el PSD2 se está dando el primer paso para el uso del móvil como principal medio de pago.
Pero, ¿Tendrá consecuencias para el marketing de los negocios que tienen pasarelas de pago en internet o negocios 100% online?
Las principales pasarelas de pago como los TPV virtual de bancos con REDSYS y otros de gran éxito como Paypal y Stripe, están ya adaptados y esto lo saben mucho antes de que la directiva europea estuviese en vigor. Puede que exista alguna excepción entre tantas pasarelas existentes, y si esta quiere competir estará en camino de actualizarse en Europa, pero nada de que preocuparse.
Todo llevará un proceso que los usuarios y clientes en internet apenas percibirán.
Como anteriormente se ha indicado, se tendrá que ver si quien compra está usando una tarjeta emitida en la UE, o si quien recibe también. Solo así aplicará la nueva directiva, claramente será algo que estará pre configurado y automatizado. El cliente va a mucha velocidad, no se pretenderá disuadir sus intenciones con esta norma.
En España muchos comercios online están trabajando con entidades nacionales o europeas, y para el caso será lo mismo, ahora bien, si estos comercios tienen un banco no perteneciente a la unión europea, en ningún caso se aplicará la PSD2. En todo caso habría que mirar si se está cumpliendo también el reglamento de comercio digital correspondiente cuando se está facturando en territorio español o europeo. Por esto, serán ciertas transacciones y ciertos responsables:
- Según el ámbito de aplicación, no todas las transacciones deberán cumplir esta norma.
- Tanto la pasarela de pago como la entidad emisora de la tarjeta deberán trabajar con la doble autenticación.
¿Quienes tienen que adaptarse?
Los bancos y las pasarelas de pago principalmente. Ya que son estas quienes pueden aplicar el sistema de doble autenticación 3DS2 para todos los usuarios de tarjetas y así obedecer a esta normativa. Solo a estas organizaciones se les podrá aplicar multas, en el caso de no cumplimiento.
¿Que es el 3DS2?
Es una forma de pago con verificación en 2 pasos desarrollada por Master card y Visa, su desarrollo inicial lo hizo una empresa llamada Arcot Systems, con ellos Visa en 2001 desplegó este innovador sistema para añadir una nueva capa de seguridad. Este método se convirtió en un estándar para muchos sectores. Su nombre viene de 3 domains Secure. Que apunta al dominio del emisor, adquiriente e interoperabilidad. 
La primera versión 3DS se basó en:
- La introducción de los datos de la tarjeta (Número de tarjeta, fecha de caducidad y código de verificación)
- Una nueva pantalla pidiendo un código secreto que se ha enviado al teléfono móvil.
- Se recibe un SMS con el código.
- Se introduce en la casilla que lo requiere.
- Se finaliza el pago correctamente.
- Posesión: Algo que el cliente posee (La tarjeta de crédito, sus datos o dispositivo móvil)
- Conocimiento: Algo que el cliente conoce (Número PIN o contraseña)
- Inherencia: Algo propio del cliente (Su huella dactilar o rostro), hablamos de elementos de identificación biométrica como la voz, el iris o la retina.
Para cumplir con el PSD2 hay que aplicar al menos 2/3.
Definitivamente este sistema nos lleva a conocer nuevos desarrollos que harán la vida mucho más fácil. No obstante, también existe la percepción de estar siendo invadidos por la tecnología, captando datos considerados más sensibles en materia de privacidad.
Conclusiones
El trabajar con una pasarela online es ahora la forma en la que se estará cumpliendo la directiva europea PSD2, si estas leyendo esto, es fundamental plantearte el implementar una en tu sitio web. Los tiempos van muy rápido y este año ya finaliza, en 2020 se vienen nuevas adaptaciones en el sector digital y hay que estar muy puestos para trabajar correctamente.
Viendo los sucesos acontecidos y los que se avecinan en torno a esta directiva, se pronostica calma y serenidad, los personajes de esta película estaban preparados para rodar, diferente es la situación para los que aspiran a ser extras, tendrán que trabajar para estar a la altura de los requerimientos necesarios.
Te invito a suscribirte a mí newsletter para seguir conociendo mis publicaciones.
Hasta la próxima entrada.
