ENG

Open api, psd2 and the technical opinion of the European Banking Authority

On June 23, 2022, the EBA published an opinion and report in response to the European Commission´s Call for Advice on the revision of the Payment Services Directive (EU) 2015/2366 (PSD2). In its response, the EBA presents more than 200 proposals that would contribute to the development of the EU single market for retail payments and ensure harmonized and consistent application of legal requirements across the EU.

1. Premessa

Payment Service Directive, nella sua seconda veste (PSD 2), è la Direttiva europea 2015/2366 relativa ai servizi di pagamento nel mercato interno, entrata in vigore nel gennaio 2016 (abrogando la Direttiva 2007/64/CE - PSD) e recepita dal Parlamento italiano l’11 dicembre 2017^[1], la sua attuazione, iniziata nel gennaio 2018, si è completata solamente nel settembre 2019.

Per intenderci, la PSD2 è una disposizione, voluta dall’UE, che pone le fondamenta giuridiche per un mercato unico dei pagamenti in tutta Europa, volto a stabilire servizi di pagamento innovativi e sicuri per gli Stati Membri. La normativa, che regola le attività di nuovi player, i famosi Third Party Provider, ha come obiettivi principali la creazione di un mercato competitivo integrato ed efficiente, che metta al tempo stesso al centro la protezione dei consumatori finali. È opportuno evidenziare, comunque, che la direttiva in esame non definisce, solamente, nuovi schemi, ma rappresenta anche un segmento fondamentale d’innovazione per l’intero settore.

L’oggetto della PSD2 definisce quelli che sono i diversi PSP (IP, IMEL, banche), la trasparenza delle condizioni e i requisiti informativi per i servizi di pagamento ed i rispettivi diritti e obblighi degli utenti, nonché dei prestatori di servizi di pagamento in relazione alla prestazione del servizio.

Ulteriori sezioni, della medesima direttiva, afferiscono agli ambiti di applicazione e alle c.d. esclusioni, come pure alle definizioni (di fondamentale importanza per comprendere i destinatari). Con riferimento ai suddetti prestatori dei servizi di pagamento, la PSD2 rende espliciti diversi assetti: prescindendo da una serie di requisiti in ordine al capitale, in materia tutelare e ad una serie di responsabilità, compaiono anche le autorizzazioni che gli interessati devono ottenere per erogare i servizi di pagamento, le potenziali esenzioni, l’andamento per la trasmissione delle informazioni di pagamento al pagante ed al beneficiario, nonché i dettagli sull’esecuzione delle operazioni.

Grande risalto viene, poi, riconosciuto alla tutela dei dati degli utenti e al riconoscimento che essi devono effettuare per condurre a buon esito determinate transazioni. Questo peculiare focus raffigura uno degli aspetti più importanti di questo aggiornamento della direttiva, come pure uno dei più tormentati.

2. Opportunità di funzionamento

Nella seconda versione della PSD vengono estesi e riqualificati gli intenti della Direttiva 2007/64/Ce del 2007, i quali possono essere sintetizzati in tre aspetti, i primi due intrinsecamente connessi: incrementare la concorrenza nel mercato dei servizi di pagamento, sostenendo l’entrata di nuovi attori dall’esterno: il c.d. nuovo “Level playing field”; realizzare un mercato più integrato e proficuo: il c.d. “Open api”; ed infine, sostenere la sicurezza delle informazioni e dei riferimenti dei consumatori finali: la c.d. “Strong customer authentication”.

Come accennato, il primo riguarda l’ampliamento del “level playing field”, ossia il limite esterno di competizione degli operatori dei digital payments, consentendo l’emersione di strumenti innovativi e assecondando la diffusione di nuovi soggetti, i c.d. TPP (Third Party Payment Services Provider)^[2]. Tale fattispecie di players ha, quale scopo ultimo, infatti, quello di rinvigorire l’agone (apportando un più alto rendimento del settore) superando le difficoltà di un mercato talvolta ristagnante. Tuttavia, è opportuno sottolineare come la competizione non sia l’unica via: tali soggetti, sono abilitati, invero, all’adozione di ulteriori strategie in un’orizzonte di cooperazione o coopetizione con i tradizionali player, quali IMEL, banche ed istituti di pagamento.

Nella direzione del secondo obiettivo della direttiva, sarebbe necessario discutere della “apertura” dei conti correnti verso soggetti ulteriori rispetto all’istituto bancario presso il quale è depositato il conto. Per intenderci, la PSD2 stabilisce che gli istituti di credito e banche consentano la visione di informazioni o operazioni di pagamento inviabili dai conti correnti dei loro utenti, dopo aver, chiaramente, ottenuto la loro autorizzazione ad ulteriori tre soggetti che erogano differenti servizi. Ci si riferisce agli AISP (Account Information Service Provider), quei soggetti, cioè, che avrebbero la possibilità di accedere alle informazioni relative al conto dei clienti delle banche ed in grado di studiare l’atteggiamento di spesa dell’utente, oppure mettere insieme i dati raccolti in un’unica piattaforma. I PISP (Payment Initiation Service Provider), invece, avrebbero il permesso a dare ossequio ad ordini di pagamento dal conto dell’utente ed inviare pagamenti on-line o in strutture fisiche. Ed infine, il CISP (Card Issuing Service Provider), i quali consentirebbero all’utente di servirsi di una carta di pagamento di un istituto diverso da quello di appartenenza e che si assocerebbe direttamente sul conto corrente proprio.

L’apertura, o meglio, la condivisione in parola, si verifica mediante le c.d. Open Api, ossia, le API (Application Programming Interface), che le banche mettono a disposizione dei Third Party Payment Services Provider per dar seguito alle attività sopra descritte. Per API si intende un insieme di funzioni e procedure che consentono ad un’applicazione di accedere a funzionalità, dati e/o audience di altri sistemi o servizi digitali. Un’ API raggiungibile da chiunque è detta "aperta" e può essere definita appunto Open API.

I servizi ai quali è consentito l’accesso dalla normativa sono principalmente: l’ Account Information, che consente di aver accesso ai propri conti bancari, mediante applicazioni differenti da quelle bancarie; il Payment Initiation, che consente di disporre un ordine di pagamento dal proprio conto attraverso altre applicazioni ed, infine, il Fund Confirmation, con cui si può verificare l’esistenza di eventuali fondi posti a garanzia dell’importo richiesto per effettuare un pagamento.

Alcuni istituti di credito hanno già provveduto ad accrescere la rosa di funzionalità fruibili, erogando ulteriori API rispetto a quelle congegnate dalla PSD2, catalogabili in cinque categorie: Payment, consentono trasferimenti di denaro da un conto all’altro; Ci si riferisce, poi, alle c.d. Consumer, le quali darebbero la possibilità di identificare un dato cliente; alle Bank, che offrono informazioni sulla dislocazione territoriale degli ATM e delle filiali;  alle Finance, ossia, quelle che offrono la possibilità di procurarsi il tasso di cambio valuta in tempo reale o, ancora, di proporre una polizza assicurativa a chi compra un dato prodotto; ed infine alle Business, ovvero, quelle API che informano dettagliatamente sulle transazioni del conto bancario aziendale o, magari, permettono di integrarsi con la blockchain dell’istituto di credito per registrare o ritrovare delle transazioni.

L’ascesa delle API aperte ha, certamente, ampliato il panorama concorrenziale dei servizi finanziari. Il più immediato beneficio per le banche è, senz’altro, quello di poter mettere a disposizione dei propri clienti un’esperienza particolareggiata. Si pensi al caso di BBVA, che dal 2019 ha dato seguito al suo API market^[3], un vero e proprio negozio schiuso agli sviluppatori esterni, con potenzialità di accesso alle info dei conti e di sottoporre ad inizializzazione pagamenti e spostamenti di denaro. Nel nostro Paese, invece, la maggior parte delle banche si è approcciata all’Open API con un progetto consorziale il “CBI Globe”, la piattaforma internazionale che semplifica il collegamento tra i PSP di tutta Europa tramite API, consentendo di sviluppare servizi fintech evoluti in risposta alle crescenti esigenze della clientela corporate e retail^[4].

Per quanto attiene, infine, al terzo proposito della PSD2, la direttiva pone un forte accento sulla tutela dei dati degli utenti. In questa direzione, è stato sviluppato un modo ulteriore di identificare l’utente che procede ad un pagamento. Dal dicembre 2020 i soggetti coinvolti nell’offerta di servizi di pagamento hanno dovuto attivare necessariamente la Strong Customer Authentication (SCA), vale a dire il riconoscimento “forte” che i consumatori devono eseguire nel qual caso pongano in essere un pagamento con un dispositivo elettronico. Gli elementi che il cliente deve osservare perché il pagamento possa essere realizzato sono almeno due, fra i successivi tre: “Something you know”, ossia quell’elemento che solo il cliente può conoscere (password, PIN, etc.); “Something you have”, dunque, quel qualcosa che solo il cliente possiede (smartphone, token bancario, etc.), e “Something you are”, cioè, qualcosa che esclusivamente il cliente può essere (riconoscimento facciale, impronta digitale). Il dispositivo congegnato, in aggiunta, incrementa la sicurezza dando luogo ad un codice inedito per ogni transazione che viene realizzata, non fondato su una logica squisitamente temporale come per i codici OTP dei token hardware bancari, i quali consentono teoricamente la possibilità di effettuare più di una transazione alla volta fintanto che la OTP sia attiva.