Introducción a la Directiva de Servicios de Pago 2 (PSD2)

La Directiva de Servicios de Pago 2 (PSD2) es una legislación promulgada por la Unión Europea (UE) que ha transformado la forma en que las empresas y los consumidores gestionan los pagos transfronterizos. Es un componente significativo de la visión de la Comisión Europea de un Mercado Único Digital, con el objetivo de crear servicios de pago más seguros, rentables e innovadores en toda la UE.

PSD2, o la segunda Directiva de Servicios de Pago, desmantela fundamentalmente el monopolio que los bancos tradicionales han tenido sobre los datos de los usuarios. Lo hace facilitando que los clientes bancarios, incluidos tanto las entidades comerciales como los consumidores individuales, utilicen los servicios de proveedores externos para gestionar sus asuntos financieros. Esta regulación innovadora proporciona un marco legal sólido para gobernar las operaciones de estos proveedores externos. Bajo esta estructura, los proveedores externos están autorizados a acceder a los datos financieros de los usuarios directamente desde los bancos, siempre que el usuario correspondiente haya dado su consentimiento explícito para este acceso.

La importancia de PSD2 va más allá de simplemente dar a los usuarios más control sobre sus datos. También sienta las bases para la aparición y proliferación de nuevos e innovadores servicios de pago y cuentas. Es a través de estos avances en tecnología financiera que la directiva busca facilitar un aumento significativo en la protección del consumidor dentro del panorama de pagos digitales en rápida evolución.

En general, PSD2 busca democratizar los datos financieros, promover la competencia e innovación en la industria de la tecnología financiera, y fortalecer los derechos y protecciones del consumidor en el ámbito digital.

En este artículo, exploraremos en mayor profundidad PSD2, es decir, sus elementos clave, requisitos de cumplimiento, cómo se compara y contrasta con PCI DSS, y más.

El Origen de PSD2

PSD2 es una actualización de la Directiva de Servicios de Pago original (PSD) que se promulgó en 2007. La directiva inicial estableció un conjunto de reglas y regulaciones para hacer que los pagos transfronterizos fueran tan fáciles, eficientes y seguros como los pagos ‘nacionales’ dentro de un país de la UE. Sin embargo, con la naturaleza en constante evolución de los pagos digitales y la aparición de nuevos proveedores de servicios de pago (PSP), se consideró necesaria una actualización, lo que llevó a la introducción de PSD2 en enero de 2018.

Desde su inicio, PSD2 ha pasado por varias iteraciones para adaptarse al cambiante panorama de los pagos digitales. Un hito clave fue la adopción de los Estándares Técnicos Regulatorios (RTS) en 2019, que delinearon requisitos específicos para la autenticación fuerte del cliente (SCA) y la comunicación segura. La directiva continúa evolucionando para mantenerse al ritmo de los avances en tecnología, el auge de las empresas fintech y los cambios en el comportamiento del cliente.

PSD2 vs. PCI DSS: Similitudes y Diferencias

La Directiva de Servicios de Pago 2 (PSD2) y el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS) son dos estándares regulatorios significativos dentro de la industria de servicios financieros. PSD2, introducida por la Unión Europea, es una directiva destinada a aumentar la competencia paneuropea y la participación en la industria de pagos, incluidos los no bancarios, y crear un campo de juego nivelado al armonizar la protección del consumidor y los derechos y obligaciones para los proveedores y usuarios de pagos. Por el contrario, PCI DSS es un estándar de seguridad de la información propietario administrado por el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago, diseñado para reducir el fraude con tarjetas de crédito mediante controles aumentados en torno a los datos del titular de la tarjeta.

Tanto PSD2 como PCI DSS se centran en la protección de la información de pago sensible. PSD2 logra esto introduciendo requisitos de seguridad estrictos para la iniciación de pagos electrónicos y la protección de datos financieros, ayudando así a reducir el riesgo de fraude en transacciones electrónicas y mejorando la protección de los datos del consumidor. De manera similar, los requisitos de PCI DSS están en su lugar para garantizar que todas las empresas que procesan, almacenan o transmiten información de tarjetas de crédito mantengan un entorno seguro, proporcionando así una seguridad robusta para los datos del titular de la tarjeta.

Sin embargo, a pesar de estos objetivos compartidos, existen diferencias clave entre las dos regulaciones. PSD2 obliga a los bancos a abrir su infraestructura de pagos y datos de clientes a terceros, lo que proporciona nuevas oportunidades de negocio y aumenta la competencia. Por el contrario, PCI DSS no requiere compartir datos y se centra únicamente en asegurar los datos del titular de la tarjeta para prevenir fraudes y violaciones de datos.

En términos de cumplimiento normativo, las empresas que manejan transacciones de pagos, independientemente de su naturaleza o volumen, deben cumplir con PCI DSS. Esto incluye comerciantes, instituciones financieras, proveedores de puntos de venta y desarrolladores de hardware y software involucrados en el procesamiento de pagos. Por otro lado, PSD2 se aplica específicamente a los proveedores de servicios de pago que operan dentro del Área Económica Europea, incluidos bancos, sociedades de construcción, instituciones de dinero electrónico y cualquier proveedor de servicios de terceros, como proveedores de servicios de información de cuentas y proveedores de iniciación de pagos.

Vale la pena señalar que PCI DSS complementa PSD2 en muchos aspectos. Mientras que PSD2 fomenta la competencia y la innovación en el mercado de pagos, PCI DSS asegura que estos nuevos servicios de pago mantengan el más alto nivel de seguridad para proteger los datos del titular de la tarjeta. Así, las empresas que utilizan estos servicios de pago pueden obtener una ventaja competitiva, ya que los consumidores son más propensos a confiar y utilizar servicios que priorizan la seguridad de sus datos.

En última instancia, tanto PSD2 como PCI DSS juegan roles fundamentales en la industria financiera al promover un paisaje de pagos seguro e innovador. Aunque tienen diferentes alcances y se aplican a diferentes entidades, su objetivo final es la protección del consumidor. Al adherirse a estos estándares, las empresas no solo cumplen con los requisitos legales, sino que también ganan la confianza del cliente, lo cual es esencial para la sostenibilidad y el crecimiento de sus operaciones.

La Estructura de PSD2

La Directiva de Servicios de Pago Revisada (PSD2) es una pieza legislativa significativa que contiene ciertos elementos cruciales, todos diseñados para forjar un mercado abierto y más competitivo para los servicios de pago. Esto incluye la introducción de tipos innovadores de proveedores de servicios de pago, la imposición de autenticación fuerte del cliente (SCA) obligatoria, salvaguardas mejoradas para los derechos del consumidor, y la directiva de que los bancos están obligados a proporcionar a los proveedores externos acceso a la información de la cuenta del cliente.

Elaborando sobre estos aspectos, la introducción de dos nuevos tipos de proveedores de servicios de pago, a saber, Proveedores de Servicios de Iniciación de Pagos (PISPs) y Proveedores de Servicios de Información de Cuentas (AISPs), ha abierto significativamente el mercado, fomentando una competencia saludable. Los PISPs son entidades que facilitan pagos en línea directamente desde la cuenta bancaria del usuario, eliminando así la necesidad de pasarelas de pago tradicionales. Esto otorga a los clientes más autonomía y aumenta la velocidad y eficiencia de las transacciones en línea.

Por otro lado, los AISPs proporcionan servicios como la agregación de cuentas, lo que permite a los clientes obtener una visión holística y completa de su estado financiero a través de múltiples cuentas. Tal servicio empodera a los consumidores para gestionar y monitorear mejor sus actividades financieras, llevando a una mejor salud y conciencia financiera.

Para mantener altos estándares de seguridad, sin embargo, todos estos nuevos servicios están respaldados por el principio de autenticación fuerte del cliente (SCA). La SCA requiere el uso de dos o más fuentes independientes de validación, como algo que el cliente sabe (una contraseña o pin), algo que el cliente tiene (una tarjeta o dispositivo móvil), o algo que el cliente es (biometría, como huellas dactilares o reconocimiento de voz). Este principio asegura que se cumpla un alto nivel de seguridad al realizar transacciones en línea, protegiendo así a los consumidores de posibles fraudes y amenazas cibernéticas.

Lo que PSD2 Significa para las Empresas

La aparición de PSD2 trae consigo una plétora de oportunidades especialmente para las empresas, y particularmente para las compañías que operan dentro del sector fintech. Esta nueva directiva tiene como objetivo fomentar la innovación y la competencia saludable contra los establecimientos bancarios tradicionales.

La principal ventaja de PSD2 radica en su disposición para que las empresas tengan acceso a los datos de las cuentas de los clientes. Las empresas pueden aprovechar este acceso para desarrollar y lanzar nuevos productos y servicios financieros que están diseñados con un fuerte enfoque en el cliente. Este potencial innovador va más allá del mero diseño de productos para incluir la simplificación de los procedimientos de pago y la reducción de los costos de transacción, ambos de los cuales pueden mejorar la experiencia y satisfacción del cliente.

Junto con los beneficios de la innovación y la competencia, PSD2 también exige que las empresas implementen medidas de seguridad estrictas. Esto inevitablemente conducirá a un aumento en la confianza del cliente, ya que las empresas demuestran su compromiso con transacciones seguras y la protección de los datos del cliente.

Una parte integral de estas medidas de seguridad es la necesidad de una autenticación fuerte del cliente. Se espera que esto reduzca sustancialmente las instancias de fraude, proporcionando otro impulso a la confianza del cliente. A medida que las empresas comienzan a experimentar tasas más bajas de fraude y sus costos asociados, también es probable que vean un aumento en la lealtad y retención del cliente. Los consumidores que sienten que sus datos y transacciones están seguros son más propensos a permanecer con esas empresas, apoyando así el crecimiento y la sostenibilidad a largo plazo del negocio.

En resumen, a través de PSD2, las empresas, especialmente las compañías fintech, ahora tienen la oportunidad de emerger como fuertes competidores en un dominio anteriormente dominado por los bancos tradicionales. Pueden lograr esto utilizando el acceso a las cuentas de los clientes otorgado por PSD2 para crear ofertas financieras personalizadas y optimizar los procesos de pago. Las medidas de seguridad mejoradas impuestas por la directiva no solo benefician a los clientes, sino también a las empresas en términos de ganar la confianza del cliente, reducir el fraude y fortalecer la retención del cliente.

Lo que PSD2 Significa para los Consumidores

PSD2 proporciona a los consumidores ventajas significativas en términos de conveniencia y gestión financiera personal. Las libertades otorgadas por este cambio regulatorio permiten a los consumidores explorar una variedad más amplia de servicios de pago más allá de lo que sus propios bancos pueden ofrecer. Esto esencialmente da a los consumidores un mayor control sobre sus datos financieros personales y cómo se gestionan.

Además, esta directiva revolucionaria fomenta un entorno competitivo entre varios proveedores de servicios de pago. Como resultado, los consumidores pueden beneficiarse potencialmente de costos más bajos para estos servicios, ya que las empresas se esforzarán por ofrecer opciones más asequibles y atractivas en un esfuerzo por destacarse y liderar el mercado.

A pesar de sus múltiples ventajas, PSD2 también plantea ciertas preocupaciones, particularmente en lo que respecta a la privacidad y seguridad de los datos. Esta directiva impone de hecho regulaciones de seguridad estrictas, en un intento de proteger la información financiera sensible de los consumidores durante su transferencia y almacenamiento. Sin embargo, el acto de compartir tales datos confidenciales con proveedores de servicios externos conlleva inherentemente algún riesgo.

Como resultado, es de suma importancia que los consumidores comprendan completamente las implicaciones de consentir tal intercambio de datos. Necesitan estar al tanto de con quién están compartiendo sus datos, cómo se utilizarán y qué medidas están en su lugar para protegerlos, a fin de tomar decisiones informadas sobre sus datos financieros personales.

Requisitos de Cumplimiento y Riesgos

Los requisitos de cumplimiento de PSD2 son vastos y reflejan los cambios en el sector de servicios financieros impulsados por la innovación tecnológica.

Bajo esta directiva de la Unión Europea, las empresas están obligadas a cumplir con varias obligaciones para cumplir con las reglas establecidas en el marco. En primer lugar, las empresas deben obtener las licencias necesarias que les permitan operar dentro del marco de PSD2. Estas licencias aseguran que cumplan con todas las estipulaciones de la directiva, otorgando legitimidad a sus servicios bajo la ley europea. Este proceso podría implicar verificaciones y evaluaciones rigurosas para determinar que las empresas pueden proporcionar servicios que se alineen con los estándares estipulados.

A continuación, las empresas deben implementar métodos de autenticación fuerte del cliente como un aspecto significativo del cumplimiento de PSD2. Esto significa que el proceso de validación de identidades de los clientes debe ser reforzado. Es un requisito esencial para ayudar a prevenir el fraude e infundir confianza en el ecosistema financiero digital. Las empresas deben emplear autenticación multifactor, incluyendo elementos como PINs, tokens, aplicaciones móviles y datos biométricos, para confirmar la identidad de un usuario.

Además, asegurar la seguridad de los canales de comunicación entre todas las partes, incluidos clientes, bancos y proveedores externos, es esencial. La directiva estipula que estos canales deben estar cifrados y seguir altos estándares de seguridad de datos para prevenir violaciones.

Además, el cumplimiento de PSD2 requiere que las empresas respeten reglas y regulaciones estrictas de privacidad de datos. Los datos personales de los clientes deben ser protegidos de manera vigilante. Esto incluye medidas estrictas como obtener el consentimiento explícito del cliente antes de compartir datos y adoptar medidas para anonimizar los datos cuando sea necesario.

El incumplimiento de estos requisitos de cumplimiento podría llevar a consecuencias severas. El incumplimiento podría resultar en sanciones financieras sustanciales, potencialmente ascendiendo a millones de euros, lo que podría impactar significativamente la salud financiera del negocio. Además, podría haber repercusiones legales que incluyen, pero no se limitan a, demandas y multas severas impuestas por organismos reguladores.

Además, el incumplimiento podría llevar a un daño a la reputación de la empresa, particularmente considerando el enfoque de la era digital en la privacidad y seguridad de los datos. Una reputación empañada puede desalentar a los clientes y socios comerciales potenciales, llevando a una disminución en el valor de mercado de la empresa.

Desafíos de Implementación y Adaptación de PSD2

La introducción de PSD2 trae una plétora de oportunidades y beneficios, sin embargo, también está acompañada de varios desafíos significativos. El principal obstáculo que enfrentan las empresas se centra en la implementación técnica de PSD2, que puede ser compleja y requerir conocimientos expertos.

Para cumplir con la directiva, deben realizarse cambios tanto a nivel de infraestructura como de sistemas, aumentando la complejidad técnica. Estos cambios implican el establecimiento de canales de comunicación seguros y la implementación de mecanismos de autenticación fuerte del cliente para asegurar que los datos del consumidor estén protegidos de manera robusta. Esto puede potencialmente imponer una carga financiera a las pequeñas empresas y start-ups debido a las inversiones significativas que pueden ser necesarias para cumplir. Esto podría resultar en tensión financiera y costos operativos aumentados, impactando la capacidad de estas empresas para competir.

Además, otro desafío considerable que introduce PSD2 es un riesgo aumentado de ciberdelincuencia. A medida que los bancos están obligados a abrir sus sistemas a proveedores externos para compartir datos de clientes, el riesgo de ciberataques potencialmente aumenta. Esto requiere la necesidad de una mayor inversión en medidas e infraestructura de ciberseguridad.

Esta complejidad añadida aumenta directamente la carga financiera sobre las empresas, que ahora deben invertir más fuertemente en estrategias de ciberseguridad para proteger los datos sensibles de los clientes. La responsabilidad recae fuertemente en las empresas para asegurar que sus sistemas tengan la capacidad y resiliencia para resistir potenciales amenazas y ataques cibernéticos en esta nueva era de banca abierta.

El Futuro de PSD2 y su Adecuación

Con el rápido desarrollo de la tecnología, PSD2 necesitará evolucionar para seguir siendo relevante. El auge de las criptomonedas, las billeteras digitales y la tecnología blockchain plantean nuevos desafíos y oportunidades para la directiva, requiriendo adaptación y actualizaciones a la legislación. Es imperativo que los reguladores y las empresas se mantengan al día con el ritmo de los avances tecnológicos y aseguren que la directiva continúe cumpliendo sus objetivos.

Una de las áreas clave en las que PSD2 necesitará enfocarse es en la privacidad de los datos. Con preocupaciones crecientes sobre el uso indebido de los datos del consumidor, la directiva debe reforzar sus medidas de protección de datos. El cifrado de datos mejorado, mecanismos de consentimiento más estrictos y mejores técnicas de anonimización de datos podrían ser áreas potenciales de enfoque para futuras iteraciones de PSD2. De hecho, el éxito de PSD2 a largo plazo dependerá de su capacidad para equilibrar la promoción de la innovación con la garantía de seguridad y privacidad.

Kiteworks Ayuda a las Organizaciones que Operan en la UE a Cumplir con PSD2

PSD2 ha revolucionado efectivamente el panorama de los servicios de pago dentro de la Unión Europea. Al romper el monopolio de los bancos sobre los datos de los usuarios, ha fomentado la competencia y la innovación en el mercado de pagos. Las empresas, particularmente las compañías fintech, tienen la oportunidad de aprovechar los datos de los clientes para crear productos financieros más personalizados y centrados en el cliente. Mientras tanto, los consumidores se benefician de un mayor control sobre sus datos financieros, junto con una gama más amplia de servicios de pago para elegir.

Sin embargo, la directiva también presenta desafíos, particularmente en términos de implementación técnica y ciberseguridad.

Además, con el rápido ritmo de los avances tecnológicos, es esencial que PSD2 evolucione continuamente para seguir siendo efectiva y relevante. Esto incluye abordar los desafíos emergentes planteados por tecnologías como las criptomonedas y blockchain, así como priorizar la privacidad de los datos. A pesar de estos desafíos, está claro que PSD2 es un paso significativo hacia la creación de un paisaje de pagos más seguro, eficiente e innovador en la UE.

La Red de Contenido Privado de Kiteworks, una plataforma de uso compartido seguro de archivos y transferencia de archivos validada a nivel FIPS 140-2, consolida correo electrónico, uso compartido de archivos, formularios web, SFTP y transferencia de archivos administrada, para que las organizaciones controlen, protejan y rastrean cada archivo a medida que entra y sale de la organización.

Kiteworks permite a las organizaciones controlar quién puede acceder a información sensible, con quién pueden compartirla y cómo los terceros pueden interactuar con (y por cuánto tiempo) el contenido sensible que reciben. Juntas, estas capacidades avanzadas de DRM mitigan el riesgo de acceso no autorizado y violaciones de datos.

Estos controles de acceso, así como las características de cifrado de transmisión segura de nivel empresarial de Kiteworks, también permiten a las organizaciones cumplir con estrictos requisitos de soberanía de datos.

Las opciones de implementación de Kiteworks incluyen en las instalaciones, alojadas, privadas, híbridas y FedRAMP en la nube privada virtual. Con Kiteworks: controla el acceso a contenido sensible; protégelo cuando se comparte externamente usando cifrado automatizado de extremo a extremo, autenticación multifactor y integraciones de infraestructura de seguridad; ve, rastrea e informa toda la actividad de archivos, es decir, quién envía qué a quién, cuándo y cómo. Finalmente, demuestra el cumplimiento con regulaciones y estándares como GDPR, ANSSI, HIPAA, CMMC, Cyber Essentials Plus, IRAP, DPA, y muchos más.

Para obtener más información sobre Kiteworks, programa una demostración personalizada hoy.

 

Volver al Glosario de Riesgo y Cumplimiento