Open banking: da domani inizia la rivoluzione dei pagamenti digitali

In poche parole, la direttiva prende atto dei notevoli cambiamenti intervenuti nell'ambito del mercato dei pagamenti in cui si sono affacciati nuovi operatori e terze parti (anche non riferibili al settore bancario) e, per tali motivi, punta ad abbattere le barriere e ad azzerare la forte burocrazia esistente nell'ambito degli istituti di credito tradizionale.

L'Open Banking, in pratica, consente agli utilizzatori del conto corrente di disporre pagamenti oppure ottenere informazioni sul proprio conto anche utilizzando applicazioni dei c.d. Third Party Provider (TPP). Questi, se autorizzati, potranno così accedere a tutti i dati dei correntisti in quanto le banche saranno obbligate ad "aprire" le proprie interfacce, note come API (Application Program Interface).

Con la trasmissione diretta dei dati e delle informazioni complete, venendo meno barriere, ostacoli e commissioni di ogni genere, sarà possibile autorizzare direttamente il pagamento dal proprio conto in maniera veloce, economica e senza intermediari.

Questo cambiamento rivoluzionario, che spalanca le porte alla competizione e stimola la concorrenza, trasformerà radicalmente le banche tradizionali e il modo in cui i clienti si approcciano ai pagamenti. Basti pensare che colossi come Apple, Google o Facebook guardano con interesse al mercato finanziario e già offrono servizi di pagamento digitali.

In pratica, rendere le banche "open", consentirà al conto corrente di operare a 360°, anche senza l'ausilio di bancomat o carte di credito, ad esempio appoggiandosi a servizi offerti da terzi, e al conto si potranno, ad esempio, collegare tutte le applicazioni di mobile payment o di instant payment. Le opportunità sono davvero eccezionali e molteplici.

Tuttavia, si è preso atto anche dell'aumento esponenziale delle frodi negli ultimi anni che sfruttano proprio le debolezze dei sistemi di sicurezza bancaria, con tattiche sempre più subdole e sofisticate che finiscono per colpire in maniera incondizionata i risparmiatori che utilizzano sistemi di pagamento online.

Secondo la direttiva, una Strong Customer Authentication si intenderà realizzata soltanto se sono combinati almeno due fattori tra i seguenti (uno solo non basta):

- "Knowledge factors" (conoscenza), qualcosa che solo l'utente conosce, ad esempio la password o il Pin;

- "Possession factors" (possesso), qualcosa che solo l'utente possiede, ad esempio uno smartphone o una chiavetta/token;

"Inherent factors" (inerenza), quelli che che contraddistingue l'utente come ad esempio la sua impronta digitale o, in generale, i dati biometrici.

Negli ultimi mesi, tutti coloro che dispongono di un conto con accesso online si saranno visti recapitare numerosi avvisi da parte del proprio istituto finanziario volti ad avvisare che, dal 14 settembre 2019, andranno in soffitta molti degli strumenti con i quali i correntisti avevano imparato a familiarizzare: le "chiavette" che generavano codici autorizzativi per le operazioni online, o anche le c.d. carte dei codici o password card.

Tali strumenti, usati da soli, non rispondono più alla normativa vigente in quanto non consentono di utilizzare almeno due degli elementi di autenticazione a scelta tra le opzioni introdotte dalla direttiva PSD2.

La data fissata per completare gli adeguamenti richiesti dalla direttiva PSD2 in materia di sicurezza delle transazioni online effettuate con carta di pagamento e dunque per l'obbligatoria adozione di sistemi di autenticazione forte dei clienti, basati sull'utilizzo di almeno due fattori, era inizialmente fissata al 14 settembre.

Nonostante molti operatori si siano già adeguati alle novità, la Banca d'Italia "in considerazione della complessità degli adeguamenti" ha ottenuto dall'EBA (European Banking Authority) una piccola proroga, rispetto alla data predetta, volta a consentire agli operatori dell'industria finanziaria italiana il completamento degli interventi e l'adozione dei nuovi strumenti di autenticazione da parte di tutti i clienti.

Gli intermediari che vorranno avvalersi di tale proroga devono presentare un dettagliato piano di migrazione. Durante il periodo di migrazione, inoltre, i pagamenti effettuati senza autenticazione forte potranno continuare a essere inviati e accettati secondo le attuali modalità, avendo tuttavia presente l'immediata applicabilità delle regole di imputazione delle responsabilità, in caso di frodi, alle transazioni prive dei requisiti di sicurezza richiesti dalla normativa.