Nowa unijna dyrektywa PSD2, regulująca usługi płatnicze w internecie, wprowadza zabezpieczenia tych transakcji, ale niesie ze sobą także zagrożenia i może przyczynić się do spadku popularności płatności internetowych - mówi PAP Piotr Gałązka ze Związku Banków Polskich.
Do stycznia 2018 roku powinna być do polskiego systemu prawnego implementowana unijna dyrektywa PSD2, która reguluje kwestie usług płatniczych w internecie i wprowadza obowiązek zabezpieczeń tych płatności.
To dyrektywa uchwalona w 2015 roku, która weszła w życie w styczniu 2016 roku, a która zastępuje obowiązującą dyrektywę PSD.
Jak jednak mówi w rozmowie z PAP dyrektor Przedstawicielstwa Związku Banków Polskich w Brukseli Piotr Gałązka, obok wprowadzenia nowych zabezpieczeń transakcji internetowych, dyrektywa a także towarzyszące jej rozporządzenie Komisji Europejskiej, dotyczące tzw. regulacyjnych standardów technicznych (RTS), niosą ze sobą pewne zagrożenia.
Gałązka przyznaje, że dyrektywa PSD2 precyzuje wiele pojęć, które nie były znane, gdy pracowano nad dyrektywą PSD (która np. wprowadziła wymóg, że przelew międzybankowy musi dojść najpóźniej następnego dnia od wysłania). Reguluje więc np. kwestię cyberbezpieczeństwa i płatności w internecie. "To jest wyraz ciągłego rozwoju technologii i tego, że prawo musi się cały czas dostosowywać do technologii" - mówi.
Według przedstawiciela ZBP, w dyrektywie PSD2 "zostały doregulowane niektóre kwestie, takie jak np. silne uwierzytelnienie płatności". Dyrektywa wprowadza np. zasadę, że muszą występować dwa czynniki różnej natury, które będą uwierzytelniać daną płatność.
Dodaje, że w Polsce takie zasady obowiązują już od jakiegoś czasu i istnieje np. obowiązek potwierdzenia transakcji internetowych przez kod wysyłany na komórkę. "Polska, w porównaniu do innych państw Unii, jest forpocztą, jeśli chodzi o stosowanie rozwiązań innowacyjnych w płatnościach" - zaznacza.
Zobacz: Bezpieczeństwo
Gałązka podkreśla, że najistotniejszym nowym rozwiązaniem, wprowadzanym przez dyrektywę PSD2, jest wprowadzenie nowych kategorii instytucji płatniczych. Będą to tzw. podmioty trzecie, działające obok banków, dotychczasowych instytucji płatniczych czy operatorów pocztowych.
Będą się do nich zaliczać dwie kategorie podmiotów - instytucje płatnicze, inicjujące płatność (świadczące usługę przeprowadzenia płatności w internecie w imieniu klienta), a także podmioty świadczące usługę informacji o rachunku (zapewniające konsumentowi zagregowane informacje na temat jego rachunku lub rachunków, ewentualnie dostarczające analiz lub porównań transakcji). W Polsce, jak dodaje Gałązka, takie podmioty już funkcjonują - świadczą np. usługi realizacji płatności w sklepach internetowych.
Przedstawiciel ZBP zwraca uwagę, że zmiana wchodząca w życie wraz z PSD2 i rozporządzeniem delegowanym RTS polega na tym, że "podmioty trzecie", pośredniczące w transakcjach internetowych, będą miały prawo pobierania od klientów loginów i haseł do kont bankowych.
Zaznacza, że po wejściu w życie dyrektywy "będzie możliwość podania loginu i hasła na stronie instytucji płatniczej".
Gałązka dodaje, że w toku prac legislacyjnych środowisko bankowe zwracało uwagę na ryzyka związane ze stosowaniem tych przepisów. Zaznacza, że głównymi celami ZBP w obszarze systemu płatniczego poza zapewnieniem niezawodnością i dostępnością jest ochrona interesów klientów sektora bankowego, w tym w szczególności tych dotyczących ich prywatności oraz zapewnienie bezpieczeństwa obrotu elektronicznego.
Według Gałązki bezpieczeństwo systemu rozliczeniowego oraz zaufanie klientów jest w znaczącej mierze wynikiem przykładania dużej dbałości w wypełnianiu rygorystycznych, krajowych i europejskich przepisów dotyczących tajemnicy bankowej i ochrony danych osobowych. Dlatego wszystkie działania ZBP od lat odbywały i odbywają się w zgodzie z wytycznymi krajowych i europejskich regulatorów i nadzorców, w tym w szczególności Komisji Nadzoru Finansowego i Narodowego Banku Polskiego - zaznacza.
"Do tej pory obowiązywała zasada, że loginu i hasła używało się tylko na stronie banku i nie podawało ich na innych stronach. To gwarantowało bezpieczeństwo środków, jeśli hasło nie zostało nikomu ujawnione. Wraz z nowymi przepisami ta sztywna zasada trochę się rozmywa" - podkreśla Gałązka.
"Pojawia się bowiem pytanie, czy wszyscy konsumenci będą w stanie prawidłowo rozpoznawać takie podmioty trzecie" – dodaje. Warto jednak podkreślić, że podmiot trzeci musi być zarejestrowany i posiadać licencję KNF.
Choć dyrektywa, zaznacza Gałązka, ma stworzyć nowe możliwości płatności internetowych przez wpuszczenie na rynek nowych podmiotów, efekt może być odwrotny od zamierzonego. "Jeśli spadnie poziom bezpieczeństwa i wzrośnie odsetek oszustw w internecie, wywoła to wręcz spadek zaufania do płatności internetowych" - komentuje.
Rozporządzenie RTS wprowadza dwie kategorie dostępu dla podmiotów trzecich – za pośrednictwem bezpiecznego interfejsu komunikacyjnego (API) oraz, w przypadku gdyby API nie działało w odpowiedni sposób (co będzie podlegało ocenie nadzorcy), za pośrednictwem tzw. mechanizmu "fall-back" wykorzystującego dostęp przez stronę klienta, jednak przy założeniu, że podmiot trzeci jest identyfikowany.
W rozporządzeniu, dodaje Gałązka, zawarty jest także zakaz zastosowania tzw. metody "redirection" jako jedynego sposobu przeprowadzenia uwierzytelnienia klienta. Metoda ta, dobrze sprawdzająca się np. na polskim rynku, polega na przekierowaniu klienta do strony banku, aby tam dopiero podawał swoje dane do logowania.
Inne metody mogą wymagać od klienta podania danych do logowania także na stronach lub w aplikacjach podmiotów trzecich. "To wszystko powoduje, że banki muszą zwiększyć wysiłki na rzecz działań edukacyjnych, związanych z płatnościami w internecie" - dodaje przedstawiciel ZBP.(PAP)
autor: Piotr Śmiłowicz
edytor: Marek Michałowski