¿Qué es PSD2?

Lo que tienes que hacer y saber para estar preparado antes la entrada de PSD2.

¿Qué es SCA?

Entre los conceptos más relevantes introducidos por PSD2 está la autenticación reforzada del cliente, conocida como SCA (Strong Customer Authentication), que no es ni más ni menos que el procedimiento obligatorio para comprobar la autenticidad de los clientes mediante el uso de 2 factores que pertenezcan a alguna de las siguientes categorías:

• Algo que solo el cliente sabe, por ejemplo la contraseña 
• Algo que solo el cliente tiene, por ejemplo su teléfono móvil 
• Algo que solo el cliente es, por ejemplo su huella dactilar 

Este procedimiento de doble autenticación es obligatorio para que el cliente pueda:

• acceder a sus cuentas online (tanto por web como por app)
• iniciar transacciones de pago electrónicas (una transferencia, un pago en comercio online,…)
• y/o realizar alguna acción a través de canales remotos que puedan suponer un riesgo de fraude

Es importante destacar que existen casos en los que no será necesario aplicar SCA, por ejemplo si se trata de pagos con tarjeta regalo o si las compras son de baja cuantía. Aún así, los titulares de tarjetas deberán ser conscientes que este paso de seguridad adicional deberá realizarse más a menudo de lo que estaban acostumbrados hasta ahora.

¿Qué supone esta normativa?

Todos los intervinientes en un proceso de comercio electrónico en Europa – bancos, proveedores de servicios de pago como Visa o Mastercard, comercios, etc –deberán implementar medidas adicionales para asegurar que cumplen con los requerimientos normativos de PSD 2.

Los clientes, podrán experimentar cambios en la manera de acceder a sus cuentas desde canales remotos (app o web) o en la manera de hacer pagos electrónicos como pueden ser las transferencias bancarias o pagos físicos con tarjeta contactless en Europa.

¿Y esto qué quiere decir para mí como cliente de BBVA?

En BBVA llevamos tiempo trabajando en adaptar nuestros altos estándares de seguridad a los nuevos requisitos de esta directiva, siempre con la vista puesta en mantener una óptima experiencia de uso para nuestros clientes. Por eso, siempre que la normativa lo permita y nuestras medidas de seguridad -‘invisibles’ para los clientes- nos den la tranquilidad de que la transacción no es fraudulenta, evitaremos que tengas que hacer la doble autenticación haciendo más cómoda la transacción. En los casos que exige la ley, te pediremos la doble autenticación.

Veamos algunos sencillos ejemplos que te ayudarán a entender cómo te afectarán estas novedades que tratan de velar por la seguridad de tu dinero.

1. Un cliente paga en tienda online con Tarjeta :

• Accede a la página de pago del comercio como de costumbre.
• Le solicitarán que introduzca los datos de su tarjeta.
• A medida que completa la transacción, le solicitarán información de seguridad adicional (es lo que se llama "credenciales", como puede ser por ejemplo una clave de uso único). Esta información podrá solicitarse sobre la misma página o bien a través de su aplicación en el teléfono móvil.

• Una vez validadas las credenciales aportadas, se visualizará la pantalla habitual confirmando que la transacción se ha finalizado con éxito.

2. Un cliente que paga en tienda física con Tarjeta Contactless:

• Realiza el pago con su tarjeta como es habitual
• Es posible que le pidan que introduzca su PIN con más frecuencia de lo habitual: cuando realice más de 5 pagos Contacless de menos de 20 € o cuando la suma de los pagos Contacless superen 100 €.

3. Un cliente que quiera acceder a sus cuentas por web o app:

• Cuando el cliente entre por primera vez en su app o web de banca online a partir de septiembre, se le solicitará un doble factor de autenticación.
• Cada 90 días o cuando acceda a información de más de 90 días, se encontrará con esa solicitud de autenticación reforzada, tal y como exige la normativa.
• Una vez autenticado, accederá a sus cuentas como es habitual.

¿Yo tengo que hacer algo?

Sí, es importante que tengamos tu número de móvil actualizado, ya que utilizaremos como factor de autenticación un código de acceso único (One Time Password, OTP por sus siglas en inglés) que recibirás en tu móvil para validar el acceso a tus cuentas o realizar determinadas transacciones electrónicas.

Si no tenemos validado tu número de móvil, es decir, si no tenemos la certeza de que estás recibiendo el código de acceso único para autenticar que eres tú quien está al otro lado, no podrás acceder a tus cuentas por web o app ni realizar pagos online.

Validar tu número de móvil es un sencillo trámite que puedes hacer en:

• Cualquier Oficina BBVA, con tu móvil y tu DNI.
• Cualquier cajero BBVA, con tu tarjeta y tu móvil.

¿Cuándo se empieza a aplicar PSD2?

La directiva PSD2 preveía que se establecieran reglamentariamente los requisitos que deben cumplir los proveedores de servicios de pagos y este reglamento se publicó el 27 de noviembre de 2017 y es de aplicación a partir del 14 de septiembre de 2019 en todos los países que forman parte del Espacio Económico Europeo – EEE.

Por la complejidad y el impacto que tiene para los consumidores y los comercios la aplicación de la autenticación reforzada (SCA) en el comercio electrónico, se está elaborando un plan que se validará con la autoridad nacional para determinar cuándo y cómo se va a cumplir con los requisitos de la SCA establecidos en la normativa de servicios de pago.

Independientemente de esto, el 14 de Septiembre los clientes de todas las entidades se encontrarán con la doble autenticación para acceder a sus cuentas por canales remotos (web y app).

¿Cómo afecta PSD2 a los comercios online?

Aunque los emisores de las tarjetas son quienes deberán realizar este proceso de doble autenticación, los comercios electrónicos igualmente deberán asegurar que su plataforma de pagos online (Tpv virtual) tiene la capacidad de procesar transacciones en modo seguro, ya que podría ocurrir que al procesar pagos dentro de un entorno de compra NO SEGURA, estos pagos pudiesen ser denegados por los bancos emisores de las tarjetas.

Es importante mencionar que los procesos de autenticación reforzada serán muy beneficiosos para los comercios online porque además de ofrecer mayor seguridad y confianza a sus compradores, reduce el riesgo que el cliente reclame la operación por posible fraude.

¿Debe mi comercio hacer algo para adaptarse a PSD2?

Cada comercio deberá o no introducir modificaciones en su TPV Virtual en función de la conexión que utilice actualmente para procesar operaciones online. Aunque se está elaborando un plan que se validará con la autoridad nacional para determinar cuándo se va a cumplir con los requisitos de la SCA establecidos en la normativa de servicios de pago, te recomendamos que en caso de tener que hacer adecuaciones, lo hagas lo antes posible.

• Si tu comercio se conecta a la pasarela de pagos por redirección, no debes hacer nada ya que BBVA procederá a modificar la configuración de tu TPV VIRTUAL para adaptarlo a las normas técnicas cuando éstas entren en vigor.
• Si tu comercio se conecta a la pasarela de pagos mediante conexiones Host-to-Host (como webservice, Price, Rest), deberás realizar una serie de cambios en la configuración de tu TPV VIRTUAL para adaptarlo a la nueva regulación. Existen dos opciones para esta adaptación:

• ADAPTAR TU CONEXIÓN HOST-TO-HOST: En este caso, al ser tú quien gestiona todo el flujo de la operación debes redirigir la transacción al servicio que corresponde en cada paso, de acuerdo a las especificaciones técnicas que puedes encontrar en nuestras guías.

  Parámetros de entrada y salida de TPV VIRTUAL

  Manual de instalación para desarolladiores

  Manual Desarollador

  Una de las novedades para adaptarse a este nuevo escenario es la creación de una nueva versión del protocolo de compra segura: EMV 3DS (también llamado 3DS 2.0), el cual progresivamente sustituirá a la versión actual (3DS 1.0), y que entre sus ventajas ofrece la posibilidad de incorporar más campos de información y favorece una mejor experiencia de autenticación de los consumidores.

• Si utilizas los servicios de un Proveedor de servicios Pagos (Payment Service Provider) que no es BBVA, deberás ponerte en contacto con tu proveedor para que éste sea quien te informe de las adaptaciones necesarias.

¿Existen exenciones o exclusiones a la Ley?

Adicionalmente, la nueva ley establece algunas exenciones a SCA o exclusiones que serán de mucha utilidad a la hora de flexibilizar los procesos de autenticación de clientes. Algunos de estos casos son:

EXENCIONES A SCA:

Aunque el comercio puede proponer las siguientes exenciones, es la entidad que emite la tarjeta quien en últimas puede requerir la doble autenticación de la transacción.

• Operaciones de importe inferior a 30 euros 
• Operaciones Contactless inferiores a 50€
• Transacciones realizadas en terminales no atendidos de parkings o transporte.
• Cuando el beneficiario del pago esté incluido por el ordenante en una lista de beneficiarios de confianza.
• Operaciones identificadas por la plataforma de pago como bajo riesgo: Son operaciones consideradas como de perfil no fraudulento, al coincidir con la operativa habitual de los clientes (pautas de gasto, realizadas con su mismo dispositivo...).
• Operaciones frecuentes o periódicas en las que coincida el importe y beneficiario. En este caso será necesario aplicar la doble autenticación la primera vez

EXCLUSIONES:

Quedan fuera de esta regulación y por tanto del requerimiento de SCA:

• Operaciones con tarjetas en comercios situados fuera del Espacio Económico Europeo (EEE), si bien el emisor de la tarjeta requerirá del doble factor de autenticación si así lo considera.
• Operaciones iniciadas por teléfono, correo, o email
• Pago con tarjetas anónimas (por ejemplo, tarjetas regalo) 
• Transacciones iniciadas de manera automática por el comercio, como suscripciones o pagos realizados sin que el cliente esté presente (es necesario que previamente el cliente haya dado su consentimiento para llevar a cabo estos pagos).

Si tienes alguna duda sobre PSD2, o si te interesa utilizar alguna de las exenciones a SCA o exclusiones que contempla la ley, ponte en contacto con: 

Línea Comercios Soportevirtual@bbva.com 

Telf.. 912 983 609