Regolamento (UE) 2022/2360

Modifica delle regole sull’esenzione dall’autenticazione forte del cliente per l’accesso ai conti di pagamento

Il regolamento delegato (UE) 2022/2360 interviene sul regolamento delegato (UE) 2018/389, adottato in attuazione della direttiva (UE) 2015/2366 (PSD2), per chiarire e uniformare l’uso dell’esenzione dall’autenticazione forte del cliente nel caso di accesso alle informazioni sui conti di pagamento. La finalità dichiarata è ridurre le divergenze applicative tra prestatori di servizi di pagamento, migliorare l’esperienza dell’utente e preservare al tempo stesso sicurezza, innovazione e concorrenza nel mercato interno.

Ambito materiale e ratio dell’intervento

Il regolamento riguarda l’accesso online al saldo e alle operazioni recenti di conti di pagamento, purché non siano divulgati dati sensibili relativi ai pagamenti. Il legislatore delegato osserva che, nella prassi, l’esenzione di 90 giorni prevista dal regolamento del 2018 è stata applicata in modo disomogeneo: alcuni prestatori richiedevano l’autenticazione forte ogni 90 giorni, altri a intervalli più brevi, altri ancora ad ogni accesso. Tale situazione ha creato attriti per gli utenti e ostacolato i servizi di informazione sui conti.

Accesso diretto con il prestatore di servizi di pagamento

L’articolo 10 del regolamento delegato (UE) 2018/389 è sostituito. Quando l’utente accede direttamente online al proprio conto di pagamento, il prestatore di servizi di pagamento può non applicare l’autenticazione forte del cliente se l’accesso è limitato:

• al saldo di uno o più conti di pagamento designati;
• alle operazioni di pagamento eseguite negli ultimi 90 giorni attraverso uno o più conti di pagamento designati.

L’esenzione non si applica, però, in due casi:

• al primo accesso online alle informazioni indicate;
• quando siano trascorsi più di 180 giorni dall’ultima volta in cui l’utente ha acceduto a tali informazioni con autenticazione forte.

Accesso mediante prestatore di servizi di informazione sui conti

È introdotto il nuovo articolo 10 bis, che rende obbligatoria l’esenzione quando l’accesso al conto avviene tramite un prestatore di servizi di informazione sui conti. In questa ipotesi, il prestatore di servizi di pagamento non applica l’autenticazione forte se l’accesso è limitato al saldo o alle operazioni degli ultimi 90 giorni, sempre senza divulgazione di dati sensibili.

Anche qui sono previste due eccezioni all’esenzione:

• primo accesso tramite il prestatore di servizi di informazione sui conti;
• decorso di oltre 180 giorni dall’ultima autenticazione forte effettuata per quell’accesso mediante il medesimo prestatore.

La scelta è coerente con l’obiettivo di evitare che il prestatore di servizi di pagamento possa discrezionalmente imporre l’autenticazione forte in un contesto nel quale ciò generava ostacoli alla fruizione dei servizi AIS.

Eccezione per motivi di sicurezza e frode

Il regolamento conserva una valvola di sicurezza: il prestatore di servizi di pagamento può comunque applicare l’autenticazione forte se dispone di motivi obiettivamente giustificati e debitamente comprovati connessi ad accesso non autorizzato o fraudolento. Il testo richiama, come esempio, i casi in cui i meccanismi di monitoraggio del prestatore di servizi di pagamento di radicamento del conto rilevino un rischio elevato di accesso non autorizzato o fraudolento.

In tali casi, il prestatore deve documentare e giustificare i motivi, su richiesta, dinanzi all’autorità nazionale competente.

Interfacce dedicate e meccanismo di emergenza

Per i prestatori di servizi di pagamento di radicamento del conto che offrono un’interfaccia dedicata ai sensi dell’articolo 31 del regolamento delegato (UE) 2018/389, il nuovo articolo 10 bis, paragrafo 4, chiarisce che non vi è obbligo di attuare l’esenzione ai fini del meccanismo di emergenza di cui all’articolo 33, paragrafo 4, se tali prestatori non applicano già l’esenzione di cui all’articolo 10 nelle interfacce dirette con gli utenti.

La norma evita di imporre un onere ritenuto sproporzionato per i soggetti che devono gestire anche una interfaccia dedicata con specifiche regole di continuità operativa.

Aggiornamento delle specifiche tecniche

Il nuovo paragrafo 4 bis dell’articolo 30 impone ai prestatori di servizi di pagamento di radicamento del conto di mettere a disposizione le modifiche alle specifiche tecniche delle loro interfacce almeno 2 mesi prima della loro attuazione, così da consentire ai prestatori di servizi di pagamento interessati di adeguare i propri sistemi in tempo utile.

Regime transitorio e decorrenza

L’articolo 2 introduce una disciplina transitoria per attenuare l’impatto operativo della riforma. I prestatori che avevano già applicato l’esenzione prima del 25 luglio 2023 possono continuare ad applicarla per le richieste di accesso ricevute tramite prestatore di servizi di informazione sui conti fino alla scadenza del periodo di esenzione già in corso.

Se, prima di tale scadenza, viene effettuata una nuova autenticazione forte in relazione a una richiesta di accesso tramite prestatore di servizi di informazione sui conti, si applica da quel momento l’articolo 10 bis.

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 25 luglio 2023.