4 najważniejsze zmiany, które wprowadza dyrektywa PSD2

Dyrektywa PSD2 kończy z monopolem banków i otwiera drzwi do innowacji produktowych w zakresie usług płatniczych i bankowych. Tym samym płatności będą mogły prowadzić już nie tylko banki, lecz także instytucje finansowe i fintechy. Nowe regulacje mają pogłębić dotychczasowy rynek usług płatniczych, przy zachowaniu interesu konsumentów.

PSD 2 (2nd Payment Services Directive) jest odpowiedzią na unijną dyrektywę PSD, która została uchwalona ponad dekadę temu. Od tamtego czasu rynek finansowy przeszedł prawdziwą rewolucję, w związku z czym okazały się potrzebne nowe przepisy. 

Polska bankowość w 2007 roku a dziś? Niebo a ziemia! Dość napisać, że w 2009 roku najpopularniejszą formą zapłaty za energię elektryczną w Polsce była gotówka na poczcie (40%) a przelewy na konto bankowe obsługiwało jedynie 19,8% płacących za taki typ usług (zgodnie z raportem NBP). Trzy lata wcześniej, w 2006 roku, aż 82% Polaków płaciło za energię gotówką. To, oczywiście, tylko przykład. Płatności zbliżeniowe czy za pomocą telefonu? W tamtym czasie również były nie do pomyślenia! Podobnie jak zakupy internetowe na tak dużą skalę jak obecnie. 

Na polskim rynku usług finansowych od 2007 roku, gdy uchwalono pierwszą dyrektywę PSD, zaszły znaczące zmiany pod względem innowacji technologicznych. Nastąpił gwałtowny wzrost płatności elektronicznych i realizowanych za pośrednictwem urządzeń przenośnych a na rynku pojawiły się nowe rodzaje usług płatniczych. 

Dyrektywa PSD2 – podstawowe informacje

Dyrektywa PSD 2 została uchwalona przez Parlament Europejski i Radę Unii Europejskiej 25 listopada 2015 r. W Polsce 20 czerwca 2018. zaczęła obowiązywać ustawa o usługach płatniczych, która dostosowuje regulacje krajowe do unijnych przepisów. Wszystkie instytucje finansowe funkcjonujące w Polsce powinny dostosować do niej swoją działalność: ofertę, systemy i regulacje, aby spełnić zapisy ustawy (ostatecznie do 20 grudnia 2018 r.). 

Pełna treść unijnej dyrektywy PSD2 liczy 93 strony (w języku polskim) i jest dostępna na stronach Parlamentu Europejskiego. 

1. Procedura silnego uwierzytelnienia

Dyrektywa PSD2 szczegółowo określa, w jaki sposób powinna zostać zweryfikowana tożsamość użytkownika usług płatniczych przez dostawcę usług płatniczych. Procedura silnego uwierzytelnienia powinna zostać przeprowadzona, gdy:

• płatnik uzyskuje dostęp do swojego rachunku płatniczego w trybie online,
• gdy płatnik inicjuje elektroniczną transakcję płatniczą,
• gdy płatnik przeprowadza czynność za pomocą kanału zdalnego, która może wiązać się z ryzykiem oszustwa płatniczego lub innych nadużyć.

W takich przypadkach dostawca usług płatniczych przy weryfikacji tożsamości powinien wykorzystać co najmmniej dwa elementy spośród następujących:

• wiedza (coś, co wie wyłącznie użytkownik),
• posiadanie (coś, co posiada wyłącznie użytkownik),
• cecha klienta (coś, czym tylko użytkownik jest).

2. Wprowadzenie tzw. małej instytucji płatniczej (MIP)

Dyrektywa PSD2 i polska ustawa o usługach płatniczych umożliwiają działalność dostawców działających na małą skalę bez nadzoru i licencji. Małe instytucje płatnicze będą mogły świadczyć wszystkie usługi płatnicze na podstawie wpisu do rejestru KNF bez kapitałów założycielskich i funduszy własnych wymaganych przez ustawę o usługach płatniczych pod pewnymi warunkami:

• ich średniomiesięczny limit transakcji nie może przekroczyć 1,5 mln euro, 
• nie mogą przyjmować środków klientów ponad 2 000 euro, 
• nie mogą świadczyć usług opartych na dostępie do rachunku,
• nie mogą świadczyć usług za granicą.

3. Open-banking i nowa kategoria usługodawców

Na rynku usług płatniczych pojawi się nowa kategoria podmiotów – dostawców usług płatniczych, będących osobą trzecią – TPP (third party provider), które będą mogły świadczyć dwa rodzaje usług:

• AIS (account information service), czyli usługę dostępu do informacji o rachunku,
• PIS (payment initiation service), czyli usługę inicjowania płatności.

PSD2 nakłada obowiązek na bankach, by umożliwiły AIS i PIS dostęp (w zakresie świadczonej przez tych dostawców usługi) do prowadzonego przez siebie rachunku użytkownika – bez względu na to, czy pomiędzy nimi a konkretnym TPP będzie istniała umowa, określająca zasady takiego dostępu. W ten sposób inny podmiot, tzw. TPP będzie mógł za zgodą konsumenta uzyskać bezpośrednio dane z jego rachunku bankowego. W ten sposób TPP może otrzymać pełną informację o stanie finansów konsumenta. TPP może być zarówno klasyczna instytucja finansowa, jak i usługodawca znany z cyfrowej gospodarki (np. Google czy Amazon). 

4. Nieautoryzowane transakcje

Nieautoryzowane transakcje to takie, które zostały wykonane bez zgody płatnika z użyciem, czy bez użycia instrumentu płatniczego.

W przypadku stwierdzenia przez konsumenta, że taka transakcja została dokonana, pełną odpowiedzialność ponosi dostawca. Powinien on bezzwłocznie (nie później niż do końca następnego dnia roboczego po otrzymaniu zgłoszenia) zwrócić płatnikowi kwotę transakcji. Z kolei płatnik powinien zgłosić nieautoryzowaną transakcję dostawcy usług nie później niż w terminie 13 miesięcy od dnia obciążenia rachunku lub od dnia wykonania transakcji. W przypadku niedokonania takiego zgłoszenia odpowiedzialność za nieautoryzowane transakcje do równowartości 50 euro (wcześniej była to kwota 150 euro), przechodzi na niego. Istnieje przy tym kilka wyjątków. Płatnik nie zostanie obciążony, jeśli:

• utrata została spowodowana działaniami lub brakiem działań ze strony pracownika, agenta lub oddziału dostawcy usług płatniczych,
• płatnik nie miał możliwości stwierdzenia utraty, kradzieży lub przywłaszczenia instrumentu płatniczego przed płatnością. 

Źródło: 

• T. Koźliński, Płatności masowe w Polsce - wyniki ogólnopolskiego badania reprezentatywnego przeprowadzonego w 2009 r. i ich porównanie z wynikami analogicznego badania przeprowadzonego w 2006 r., NBP, 2010.
• Wszystko o PSD2, Deloitte.
• PSD2: Q&A, Deloitte, 2016. 
• Wszystko o nowej dyrektywie PSD2, Puls Biznesu.