Direttiva 2015/2366

Direttiva (UE) 2015/2366 sui servizi di pagamento nel mercato interno

La direttiva riforma profondamente il quadro UE dei pagamenti al dettaglio, sostituendo la direttiva 2007/64/CE e adattandolo all’evoluzione dei pagamenti elettronici, mobili e via Internet. L’impianto è quello di una direttiva di armonizzazione elevata: fissa obiettivi e standard comuni, ma lascia agli Stati membri la scelta delle forme e dei mezzi di recepimento, nonché alcune opzioni e deroghe espressamente previste.

Obiettivi e ratio dell’intervento

La direttiva persegue quattro obiettivi centrali:

• integrare ulteriormente il mercato interno dei servizi di pagamento;
• colmare le lacune regolamentari emerse con i nuovi modelli di business digitali;
• rafforzare sicurezza e protezione dell’utente;
• favorire concorrenza e innovazione, creando condizioni di parità tra operatori tradizionali e nuovi entranti.

I considerando evidenziano che la frammentazione nazionale, l’emersione dei servizi di disposizione di ordine di pagamento e di informazione sui conti, nonché i rischi di sicurezza e di protezione dei dati, rendevano insufficiente il vecchio quadro della direttiva 2007/64/CE.

Ambito di applicazione, soggetti e esclusioni

La direttiva si applica ai servizi di pagamento prestati nell’Unione. L’articolo 1 individua i soggetti regolati: enti creditizi, istituti di moneta elettronica, uffici postali autorizzati dal diritto nazionale, istituti di pagamento, BCE e banche centrali nazionali quando non agiscono come autorità monetarie o pubbliche, nonché Stati membri e autorità territoriali quando non agiscono come autorità pubbliche.

L’articolo 2 estende il campo di applicazione ai titoli III e IV secondo la localizzazione dei prestatori e la valuta dell’operazione. In particolare:

• per le operazioni in valuta di uno Stato membro, i titoli III e IV si applicano se almeno uno dei prestatori è nell’Unione;
• per le operazioni in valuta non UE e per quelle con un solo prestatore situato nell’Unione, la disciplina si applica per la parte eseguita nell’Unione, con alcune esclusioni espressamente previste.

L’articolo 3 elenca numerose esclusioni, tra cui:

• pagamenti in contante senza intermediazione;
• operazioni tramite agente commerciale che agisce solo per pagatore o solo per beneficiario;
• trasporto professionale di contante;
• operazioni basate su assegni, cambiali, voucher, travellers cheques e strumenti cartacei analoghi;
• operazioni svolte all’interno di sistemi di pagamento o di regolamento dei titoli;
• servizi tecnici che non entrano mai in possesso dei fondi;
• strumenti a utilizzo limitato (“reti limitate”);
• micropagamenti per contenuti digitali, servizi vocali, biglietti e beneficenza tramite reti di comunicazione elettronica, entro limiti di importo;
• prelievi ATM forniti da soggetti indipendenti, con obblighi di trasparenza sulle commissioni.

Definizioni essenziali

L’articolo 4 è centrale perché definisce il lessico tecnico della direttiva. Per gli operatori italiani sono particolarmente rilevanti:

• "istituto di pagamento": persona giuridica autorizzata a prestare servizi di pagamento in tutta l’Unione;
• "servizio di disposizione di ordine di pagamento": servizio che dispone un ordine di pagamento su richiesta dell’utente relativamente a un conto presso altro prestatore;
• "servizio di informazione sui conti": servizio online che aggrega informazioni su uno o più conti di pagamento detenuti presso altri prestatori;
• "autenticazione forte del cliente": autenticazione basata su almeno due elementi tra conoscenza, possesso e inerenza;
• "fondi": comprendono anche la moneta elettronica;
• "microimpresa": rinvia alla raccomandazione 2003/361/CE;
• "giornata operativa", "identificativo unico", "contratto quadro", "rimessa di denaro", "addebito diretto" e "bonifico".

Autorizzazione e requisiti degli istituti di pagamento

Gli articoli 5-13 disciplinano l’autorizzazione, la revoca e il mantenimento del titolo abilitativo.

La domanda di autorizzazione deve contenere, tra l’altro:

• programma di attività e piano aziendale;
• prova del capitale iniziale;
• misure di salvaguardia dei fondi degli utenti;
• governance, controlli interni, continuità operativa e gestione degli incidenti;
• politica di sicurezza;
• eventuali sistemi antiriciclaggio e di contrasto al finanziamento del terrorismo;
• struttura organizzativa, agenti, succursali, esternalizzazioni e partecipazioni qualificate.

L’autorizzazione è concessa solo se l’autorità competente valuta positivamente la domanda e i requisiti di sana e prudente gestione. La decisione deve essere comunicata entro tre mesi dalla domanda completa (articolo 12).

Il capitale iniziale minimo è fissato dall’articolo 7 come segue:

• 20.000 EUR per il solo servizio di rimessa di denaro;
• 50.000 EUR per il servizio di disposizione di ordine di pagamento;
• 125.000 EUR per i servizi di pagamento di cui ai punti 1-5 dell’allegato I.

L’articolo 8 richiede che i fondi propri non scendano sotto il maggiore tra capitale iniziale e importo calcolato ex articolo 9. Quest’ultimo prevede tre metodi di calcolo (A, B, C), con fattore di graduazione k pari a 0,5 o 1 a seconda dei servizi offerti, e consente alle autorità competenti una correzione del 20% in aumento o in diminuzione in base al profilo di rischio.

L’articolo 10 impone la salvaguardia dei fondi degli utenti mediante segregazione o copertura assicurativa/garanzia comparabile. I fondi devono essere separati dai fondi propri dell’istituto e, se non trasferiti entro la prima giornata operativa successiva, depositati su conto separato o investiti in attività sicure, liquide e a basso rischio.

L’articolo 13 disciplina i casi di revoca, tra cui mancato uso dell’autorizzazione, dichiarazioni false, perdita dei requisiti, minaccia alla stabilità del sistema di pagamento o altri casi previsti dal diritto nazionale.

Passaporto, agenti, succursali e vigilanza transfrontaliera

Gli articoli 19, 28, 29, 30 e 31 regolano l’operatività transfrontaliera.

L’istituto di pagamento può operare mediante agenti o succursali e deve notificare specifiche informazioni all’autorità competente dello Stato membro d’origine, che le trasmette allo Stato membro ospitante. Le tempistiche rilevanti sono:

• entro 1 mese: trasmissione iniziale e valutazione delle informazioni da parte dello Stato membro ospitante;
• entro 3 mesi: decisione dello Stato membro d’origine e avvio attività dell’agente o della succursale dopo l’iscrizione nel registro.

In caso di irregolarità, l’autorità dello Stato membro d’origine deve adottare senza indugio misure correttive. In situazioni di emergenza con grave minaccia agli interessi collettivi degli utenti, l’autorità dello Stato membro ospitante può adottare misure cautelari temporanee, proporzionate e non discriminatorie.

L’ABE deve elaborare norme tecniche di regolamentazione su cooperazione, notifiche e scambio di informazioni, con scadenze fissate, tra l’altro, al 13 gennaio 2018.

Accesso ai sistemi di pagamento e ai conti bancari

L’articolo 35 impone che l’accesso ai sistemi di pagamento per gli istituti autorizzati o registrati sia regolato da criteri obiettivi, non discriminatori e proporzionati, con divieto di restrizioni ingiustificate alla partecipazione e di discriminazioni tra prestatori autorizzati o registrati. Sono esclusi i sistemi designati ai sensi della direttiva 98/26/CE e i sistemi costituiti esclusivamente da prestatori appartenenti allo stesso gruppo.

L’articolo 36 prevede che gli istituti di pagamento abbiano accesso ai servizi relativi ai conti di pagamento presso gli enti creditizi in maniera obiettiva, proporzionata e non discriminatoria, con obbligo di motivazione in caso di rifiuto.

Regime di esenzione e piccoli operatori

L’articolo 32 consente agli Stati membri di esentare, in tutto o in parte, taluni prestatori di servizi di pagamento di cui ai punti 1-6 dell’allegato I se il valore medio mensile delle operazioni, calcolato sui 12 mesi precedenti, non supera il limite nazionale e comunque non supera 3 milioni di EUR, e se i responsabili non hanno condanne in materia di riciclaggio, finanziamento del terrorismo o altri reati finanziari.

Gli esentati sono trattati come istituti di pagamento, ma non beneficiano del passaporto di stabilimento e di libera prestazione dei servizi. L’articolo 34 impone la notifica alla Commissione delle esenzioni applicate e dei relativi valori annuali.

L’articolo 33 prevede un regime specifico per i prestatori di servizi di informazione sui conti, esentandoli da parte delle procedure autorizzative e da alcuni requisiti, ma sottoponendoli comunque a registrazione e a specifici obblighi di sicurezza e vigilanza.

Trasparenza e informazione: struttura generale

I titoli III e IV formano il cuore della disciplina di trasparenza e dei diritti/obblighi contrattuali.

L’articolo 38 chiarisce che il titolo III si applica alle operazioni singole, ai contratti quadro e alle operazioni da essi contemplate; per gli utenti non consumatori le parti possono derogare in tutto o in parte, e gli Stati membri possono estendere la disciplina alle microimprese.

L’articolo 40 vieta di addebitare le spese per la mera messa a disposizione delle informazioni obbligatorie, mentre l’articolo 41 pone l’onere della prova in capo al prestatore di servizi di pagamento per dimostrare il rispetto degli obblighi informativi.

Per gli strumenti di pagamento di importo ridotto e per talune forme di moneta elettronica, gli articoli 42 e 63 consentono deroghe significative agli obblighi informativi e di esecuzione, con soglie base di 30 EUR per singola operazione, limite di spesa o avvaloramento di 150 EUR, elevabili a livello nazionale fino a 500 EUR per strumenti prepagati.

Informazioni precontrattuali e contratti quadro

Gli articoli 44-53 disciplinano le informazioni da fornire prima della conclusione del contratto singolo o quadro e la disponibilità successiva della documentazione.

Per i contratti quadro, il prestatore deve fornire in tempo utile, su supporto cartaceo o durevole, informazioni chiare e comprensibili su:

• identità del prestatore e autorità di controllo;
• caratteristiche del servizio;
• identificativo unico richiesto;
• modalità di consenso e revoca;
• tempi massimi di esecuzione;
• spese, tassi di interesse e cambio;
• comunicazioni e lingua del contratto;
• misure di sicurezza, blocco strumenti, responsabilità e rimborsi;
• durata, modifica e recesso;
• ADR e foro competente.

L’articolo 54 disciplina le modifiche contrattuali, imponendo un preavviso di almeno due mesi; per i tassi di interesse e di cambio, se basati su tassi di riferimento convenuti, la modifica può essere immediata. L’articolo 55 riconosce il diritto di recesso del cliente con preavviso massimo di un mese; se il contratto dura da meno di sei mesi, possono essere richieste spese adeguate e proporzionate.

Informazioni dopo l’esecuzione delle operazioni

Gli articoli 57 e 58 prevedono che, dopo l’addebito o l’esecuzione, il prestatore informi senza indugio pagatore e beneficiario con un set minimo di dati: riferimento operazione, importo, spese, eventuale tasso di cambio, data valuta o data di ricezione. Per i contratti quadro, il cliente può ottenere un riepilogo almeno mensile gratuitamente; gli Stati membri possono imporre la forma cartacea o durevole gratuita almeno mensile.

Commissioni, maggiorazioni e conversione valutaria

L’articolo 59 regola la valuta applicabile e la conversione, imponendo trasparenza quando il servizio di conversione è offerto prima dell’operazione, in ATM, nel punto vendita o dal beneficiario.

L’articolo 60 impone che il beneficiario o il prestatore informino il pagatore di eventuali spese o riduzioni collegate allo strumento di pagamento prima dell’operazione; tali spese sono dovute solo se rese note anticipatamente.

L’articolo 62 stabilisce, inoltre, che in linea generale le spese del prestatore gravano su pagatore e beneficiario ciascuno per la propria banca, ma vieta le spese a carico del beneficiario per strumenti di pagamento soggetti al regolamento (UE) 2015/751 e per i servizi di pagamento soggetti al regolamento (UE) n. 260/2012. Gli Stati membri possono vietare o limitare il diritto del beneficiario di applicare maggiorazioni.

Servizi di disposizione di ordine di pagamento e di informazione sui conti

La direttiva introduce una disciplina dettagliata per i nuovi servizi di cui ai punti 7 e 8 dell’allegato I.

Per il payment initiation service:

• il prestatore non detiene mai i fondi dell’utente;
• deve identificarsi presso il prestatore di radicamento del conto;
• deve operare attraverso canali sicuri;
• non può modificare importo, beneficiario o altri dati dell’operazione;
• il prestatore di radicamento del conto deve trattare gli ordini trasmessi tramite tale servizio senza discriminazioni ingiustificate.

Per l’account information service:

• l’accesso avviene solo su consenso esplicito dell’utente;
• il prestatore accede solo ai conti designati e alle operazioni correlate;
• non può richiedere dati sensibili relativi ai pagamenti;
• non può usare o conservare i dati per fini diversi dal servizio richiesto.

In entrambi i casi, la prestazione del servizio non dipende dall’esistenza di un rapporto contrattuale tra il prestatore terzo e il prestatore di radicamento del conto.

Sicurezza, autenticazione forte e conferma della disponibilità di fondi

Gli articoli 65, 66, 67, 95, 96, 97 e 98 costituiscono il nucleo della sicurezza.

L’articolo 65 introduce la conferma della disponibilità di fondi per operazioni con carta, su richiesta del prestatore emittente, alle condizioni di accesso online del conto e del consenso esplicito del pagatore. La risposta deve essere solo affermativa o negativa e non può comportare blocco dei fondi.

Gli articoli 66 e 67 disciplinano l’accesso ai conti in caso di servizi di disposizione di ordine di pagamento e di informazione sui conti.

L’articolo 95 impone ai prestatori di predisporre un quadro di gestione dei rischi operativi e di sicurezza, con procedure per incidenti gravi e valutazioni annuali o più frequenti trasmesse all’autorità competente.

L’articolo 96 richiede la notifica senza indugio degli incidenti operativi o di sicurezza gravi all’autorità di origine e, se rilevanti per gli utenti, agli utenti stessi. L’ABE, in cooperazione con BCE, deve emanare orientamenti e coordinare l’approccio di vigilanza.

L’articolo 97 introduce l’autenticazione forte del cliente per:

• accesso online al conto;
• operazioni di pagamento elettronico;
• azioni a distanza con rischio di frode.

Per i pagamenti a distanza, la SCA deve collegare dinamicamente l’operazione a uno specifico importo e a uno specifico beneficiario. L’articolo 98 affida all’ABE il compito di predisporre RTS su requisiti SCA, esenzioni e standard aperti di comunicazione.

Nota importante per il recepimento: l’articolo 115, paragrafo 4, stabilisce che le misure di sicurezza di cui agli articoli 65, 66, 67 e 97 si applicano solo a decorrere da 18 mesi dopo l’entrata in vigore delle RTS ex articolo 98.

Responsabilità, rimborsi e tutela del pagatore

Gli articoli 71-74 e 89-93 stabiliscono il regime di responsabilità.

Punti essenziali:

• il pagatore deve notificare operazioni non autorizzate o inesatte senza indugio e comunque entro 13 mesi;
• il prestatore deve provare autenticazione, corretta registrazione e assenza di guasti tecnici;
• per operazioni non autorizzate il rimborso è immediato e, in ogni caso, entro la giornata operativa successiva, salvo sospetto ragionevole di frode;
• la responsabilità del pagatore è in linea generale limitata a 50 EUR in caso di smarrimento, furto o appropriazione indebita, salvo dolo o grave negligenza;
• se non è richiesta autenticazione forte del cliente, il pagatore non sopporta conseguenze finanziarie salvo frode;
• dopo la notifica dello smarrimento/furto il pagatore non risponde delle perdite successive;
• in caso di importo non noto in anticipo, il blocco di fondi è consentito solo con consenso del cliente e deve cessare senza indugio appena noto l’importo.

Per le operazioni disposte dal beneficiario o tramite addebito diretto, il pagatore ha diritto al rimborso se l’importo supera quanto ragionevolmente atteso, con un diritto incondizionato di rimborso per gli addebiti diretti in euro in via generale, nel quadro SEPA.

Gli articoli 89 e 90 ripartiscono la responsabilità per mancata esecuzione, esecuzione inesatta o tardiva tra prestatore del pagatore, prestatore del beneficiario e, nei casi di payment initiation, prestatore di disposizione di ordine di pagamento. È previsto anche il diritto di regresso tra prestatori ai sensi dell’articolo 92.

Tempi di esecuzione, data valuta e importo trasferito

L’articolo 81 impone il trasferimento della totalità dell’importo, senza trattenute lungo la catena, salvo accordo tra beneficiario e proprio prestatore per la deduzione delle spese da parte di quest’ultimo.

L’articolo 83 fissa, come regola generale, l’accredito al prestatore del beneficiario entro la fine della giornata operativa successiva alla ricezione dell’ordine; per operazioni su supporto cartaceo è ammessa un’ulteriore giornata operativa. L’articolo 87 disciplina la data valuta, che non può essere successiva al momento in cui i fondi sono accreditati sul conto del prestatore del beneficiario.

L’articolo 82 delimita l’ambito delle regole di esecuzione, mentre l’articolo 86 consente per operazioni nazionali termini più brevi.

Utilizzo degli strumenti di pagamento, blocco e notifiche

Gli articoli 68-70 disciplinano i limiti di utilizzo, il blocco per sicurezza e gli obblighi informativi del prestatore. Il blocco è consentito solo per motivi obiettivamente giustificati, deve essere comunicato quanto prima e rimosso appena cessate le cause.

L’articolo 69 impone all’utente di usare lo strumento in conformità alle condizioni e di notificare senza indugio smarrimento, furto o uso non autorizzato. L’articolo 70 impone al prestatore di mettere a disposizione canali gratuiti di notifica e di impedire l’uso dello strumento dopo la segnalazione.

Dati personali e protezione della riservatezza

L’articolo 94 autorizza il trattamento dei dati personali necessario per prevenire, indagare e individuare frodi nei pagamenti, nel rispetto della direttiva 95/46/CE e del regolamento (CE) n. 45/2001. I prestatori possono accedere e conservare i dati personali solo con consenso esplicito dell’utente, nei limiti necessari alla prestazione del servizio.

La direttiva richiama anche l’esigenza di privacy by design e privacy by default nei sistemi di trattamento dati.

Reclami, ADR e sanzioni

Gli articoli 99-103 impongono agli Stati membri di istituire procedure di reclamo presso le autorità competenti e di garantire procedure di risoluzione alternativa delle controversie adeguate, indipendenti, imparziali, trasparenti ed efficaci, in linea con la direttiva 2013/11/UE.

I prestatori di servizi di pagamento devono rispondere ai reclami entro 15 giornate operative, con possibile estensione fino a 35 giornate operative in casi eccezionali. Devono inoltre informare i clienti di almeno un organismo ADR competente.

Gli Stati membri devono prevedere sanzioni effettive, proporzionate e dissuasive e possono consentire la pubblicazione delle sanzioni amministrative, salvo rischio grave per i mercati finanziari o danno sproporzionato.

Recepimento, abrogazione e disposizioni transitorie

L’articolo 115 stabilisce che gli Stati membri devono adottare e pubblicare le misure di recepimento entro il 13 gennaio 2018 e applicarle da tale data. Tuttavia, per le misure di sicurezza degli articoli 65, 66, 67 e 97, l’applicazione è differita di 18 mesi dall’entrata in vigore delle RTS dell’articolo 98.

L’articolo 114 abroga la direttiva 2007/64/CE dal 13 gennaio 2018.

L’articolo 109 prevede un regime transitorio per gli istituti di pagamento e per i soggetti già operativi ai sensi della direttiva 2007/64/CE:

• gli istituti già avviati possono continuare fino al 13 luglio 2018 senza nuova autorizzazione;
• alcuni soggetti ex articolo 26 della direttiva 2007/64/CE possono continuare fino al 13 gennaio 2019;
• gli istituti di pagamento autorizzati per il vecchio servizio di cui al punto 7 dell’allegato della direttiva 2007/64/CE mantengono l’autorizzazione per il nuovo servizio corrispondente, se soddisfano i requisiti entro il 13 gennaio 2020.

Aspetti utili per il professionista italiano

Per avvocati e commercialisti, la direttiva è rilevante soprattutto per:

• revisione di contratti quadro, informative e condizioni economiche;
• qualificazione regolatoria di nuovi servizi fintech e modelli di piattaforma;
• governance, capitale e assicurazioni richieste ai prestatori;
• gestione di agenti, succursali e outsourcing;
• compliance su sicurezza, SCA, incident reporting e protezione dati;
• disciplina delle commissioni, delle maggiorazioni e dei rimborsi su addebiti diretti;
• coordinamento con normativa antiriciclaggio, tutela consumatori e strumenti di risoluzione delle controversie.

La direttiva lascia agli Stati membri alcuni margini di discrezionalità, ma in un quadro di piena armonizzazione per le materie espressamente disciplinate. Per gli operatori italiani, il punto pratico centrale è la conformità alle norme nazionali di recepimento e alle RTS/linee guida ABE, con attenzione alle date di applicazione differita e ai regimi transitori.