Sobota, 14 września to był ważny termin zarówno dla banków, jak i dla ich klientów. Tego dnia wszedł w życie szereg zmian w zakresie bankowości elektronicznej. Najważniejsze z nich dotyczą sposobu logowania się do kont oraz płatności internetowych.
Od wczoraj zaczęła obowiązywać dyrektywa PSD2. Nazwa mówi niewiele, ale pod nią kryją się poważne zmiany dla banków i klientów (konsumentów). Teraz inaczej będziemy logować się do internetowych kont oraz częściej wpisywać kod PIN płacąc kartą. To nie są jedyne rozwiązania, jakie weszły w życie. Dyrektywa wprowadza m.in. procedurę silnego uwierzytelnienia i ma ona zwiększyć bezpieczeństwo konsumentów.
PSD2 (ang. Payment Services Directive) to unijna dyrektywa dotycząca usług płatniczych, do której musiały dostosować się wszystkie kraje Wspólnoty. Zrobiła to także Polska poprzez nowelizację ustawy o usługach płatniczych, która weszła w życie 20 czerwca 2018 r. Zapisano w niej, że banki i inne instytucje finansowe mają ostatecznie czas na wdrożenie przepisów właśnie do 14 września 2019 r.
Głównymi założeniami są zwiększenie bezpieczeństwa konsumentów i lepsze chronienie ich przed nadużyciami finansowymi w obrocie bezgotówkowym. Ma także zwiększyć szybkość realizacji płatności bezgotówkowych.
Jakie zmiany wprowadza PSD2?
1. Wprowadzenie procedury silnego uwierzytelnienia to będzie najbardziej odczuwalna zmiana dla konsumentów, jaka zachodzi przez PSD2. Oznacza to, że od 14 września tożsamość konsumenta korzystającego z elektronicznych usług płatniczych musi zostać podwójnie zweryfikowana.
Kiedy podwójna weryfikacja? W dyrektywie jasno zapisano, że procedura silnego uwierzytelnienia musi być przeprowadzana, gdy płatnik:
- uzyskuje dostęp do swojego rachunku płatniczego w trybie online,
- inicjuje elektroniczną transakcję płatniczą,
- przeprowadza czynność za pomocą kanału zdalnego, która może wiązać się z ryzykiem oszustwa płatniczego lub innych nadużyć.
Zasady podwójnej weryfikacji
Uwierzytelnianie musi odbywać się w oparciu o co najmniej dwa elementy, do których należą:
- wiedza (coś, co wie wyłącznie użytkownik),
- posiadanie (coś, co posiada wyłącznie użytkownik),
- cechy klienta (coś, czym jest użytkownik).
Muszą być one od siebie niezależne. Oznacza to, że naruszenie jednego z nich nie osłabia wiarygodności pozostałych. Każdy bank wprowadził własne sposoby weryfikacji klientów podczas logowania.
W jaki sposób nowe przepisy wpływają na zwykłego konsumenta?
W transakcjach zbliżeniowych kod PIN będzie trzeba podać w przypadku płatności o kwocie łącznej większej niż 150 euro (ok. 650 zł) albo co pięć transakcji (niezależnie od ich kwoty). Do tej pory kod PIN podawaliśmy tylko w przypadku transakcji powyżej 50 złotych, niezależnie od ich liczby. Wybór jednej z powyższych opcji należeć będzie do wydawcy karty, czyli od banku.
Transakcje kartą w samoobsługowych automatach parkingowych i transportowych (autostrady, bilety autobusowe, kolejowe, etc.) będą zwolnione z obowiązku podawania kodu PIN.
2. Mniejsza odpowiedzialność i szybsza reklamacja Dyrektywa PSD2 zmniejsza też odpowiedzialność klienta za nieautoryzowane transakcje.
Konsument nie będzie ponosić odpowiedzialności, gdy nie mógł sobie zdawać sprawy z utraty, kradzieży lub przywłaszczenia instrumentu płatniczego. Przyjęto, że w przypadku nieautoryzowanej transakcji płatniczej, będzie musiał zapłacić 50 euro (do tej pory było to 150 euro). Pozostała odpowiedzialność spadnie na dostawcę usług.
Nowe prawo skraca też czas reklamacji do 15 dni roboczych (z 30 dni).
3. Otwarta bankowość, czyli nowy rodzaj usługodawców Dyrektywa PSD2 wprowadza również nowy rodzaju usługodawców na rynku płatniczym, którzy mogą pośredniczyć w usługach finansowych. Obok banków i innych podmiotów, pojawią się instytucje określane jako TPP (Third Party Provider), czyli tzw. dostawcy zewnętrzni.
Będą mogły świadczyć dwa typy nowych usług:
Account Information Service (AIS) - będzie informować o stanie wielu rachunków bankowych; dzięki niej klienci mają mieć łatwy wgląd w stan swoich finansów w wielu różnych bankach; Payment Initiation Service (PIS) - będzie dokonywać płatności z wykorzystaniem rachunku bankowego klienta w jego imieniu. TPP będzie inicjować płatność w określonej kwocie do określonego odbiorcy i raportować klientowi o jej realizacji. Banki będą musiały udostępnić powyższym TPP - za zgodą klienta - dostęp do jego rachunków. Listę TPP będzie podawać Komisja Nadzoru Finansowego.
4. Mała Instytucja Płatnicza Dyrektywa PSD2 umożliwiła powstanie Małej Instytucji Płatniczej (MIP). To nowy rodzaj podmiotu uprawnionego do świadczenia usług płatniczych na małą skalę. MIP mogą być osoby fizyczne prawne lub jednostki organizacyjne niebędące osobą prawną, ale mające zdolność prawną. MIP będą mogły działać po wpisie do rejestru przez Komisję Nadzoru Finansowego. Niekonieczne będzie uzyskanie licencji.
MIP będą musiały jednak spełniać dwa wymogi:
-wielkość obrotu MIP nie może przekroczyć 1,5 mln euro miesięcznie;
- nie może przechowywać więcej niż 2 tys. euro od jednego klienta.
Uwaga na oszustów
W pierwszych tygodniach po wejściu w życie nowych przepisów warto zachować czujność. Komisja Nadzoru Finansowego ostrzegła, że paradoksalnie nowe prawo zwiększające bezpieczeństwo, początkowo może być okazją dla oszustów. Przestępcy mogą próbować wyłudzić poufne informacje, m.in. przez przeprowadzanie ataków phishingowych, co w konsekwencji może doprowadzić do kradzieży tożsamości lub kradzieży środków finansowych. KNF przekazała, że podejrzenie powinny wzbudzić wszelkiego rodzaju wiadomości mailowe, SMS oraz próby kontaktu powołujące się na wejście w życie nowych rozwiązań.
W przypadku jakichkolwiek wątpliwości należy skontaktować się z dostawcą swoich usług płatniczych.
Z czym od soboty muszą liczyć się klienci najpopularniejszych u nas banków?
PKO BP
W przypadku PKO BP klienci indywidualni będą logować się tak jak obecnie do:
- bankowości internetowej (za pomocą loginu i hasła, następnie - jeśli mają włączoną opcję dodatkowego uwierzytelniania - weryfikują dostęp przez autoryzację w aplikacji mobilnej IKO);
- aplikacji mobilnej (korzystając z zainstalowanej na swoim smartfonie i zweryfikowanej przez bank aplikacji IKO podają kod mPIN).
W przypadku realizacji niektórych operacji np. przelewu jednorazowego, klient musi potwierdzić transakcję narzędziem autoryzacji, którego używa do potwierdzania operacji na rachunku (jednorazowy kod lub mobilna autoryzacja).
Po 14 września PKO BP wprowadza nowe rozwiązanie, które zakłada konieczność skorzystania z narzędzia autoryzacji, jeśli chcemy otrzymać dostęp historii rachunku obejmującej więcej niż 90 dni.
Santander Bank Polska
Od 14 września w bankowości internetowej Santander Bank Polska przy każdym logowaniu będzie wymagać - oprócz loginu oraz hasła - dodatkowo kodu SMS, tokena lub mobilnego podpisu, w zależności od tego, z czego aktualnie korzysta klient jako narzędzia autoryzacyjnego.
Klienci będą mogli w systemie zaznaczyć wybrane przez siebie urządzenia (komputer/tablet/smartfon) jako urządzenia zaufane. Dzięki temu nie będzie wymagana od nich dodatkowa autoryzacja za każdym kolejnym razem logowania się do konta bankowego.
Z kolei w bankowości mobilnej pozostaną te same metody logowania: login i hasło, a także możliwość włączenia dodatkowej autoryzacji (kod SMS, token lub mobilny podpis, możliwość logowania przy użyciu biometrii: odcisku palca lub przy użyciu twarzy, czyli FaceID). Jedyną różnicą jest wymaganie logowania za pośrednictwem zaufanego urządzenia mobilnego.
Bank Pekao
Bank Pekao rezygnuje z niektórych metod autoryzacji: karty kodów jednorazowych, aplikacji PekaoToken oraz tokena w postaci osobnego urządzenia.
Bank poinformował, że będzie można korzystać z dwóch dostępnych w Pekao24 metod autoryzacji.
Pierwsza to bezpłatna autoryzacja dzięki aplikacji mobilnej PeoPay. Druga to kody SMS, które dla większości kont będą płatne 20 groszy. Opłata nie dotyczy posiadaczy rachunków: Konto Świat Premium, Eurokonto Premium Plus, Eurokonto Prestiżowe, Eurokonto Srebrne (do 10 szt. SMS-ów), Eurokonto MAX, Eurokonto Złote, Eurokonto Private Banking.
Bank Millennium
Bank Millennium z wyprzedzeniem wprowadził procedury wymagane przez unijną dyrektywę. Już teraz klienci indywidualni banku logują się do serwisu internetowego Millenet za pomocą identyfikatora (MilleKodu), ustalonego przez siebie hasła i wybranych znaków z numeru dokumentu potwierdzającego tożsamość lub PESEL. W aplikacji natomiast za pomocą ustalonego w procesie aktywacji kodu PIN, odcisku palca bądź poprzez usługę FaceID, na modelach telefonów wyposażonych w tę funkcję.
Bank Millennium po 14 września będzie wykorzystywał znane klientom formy uwierzytelniania - hasło SMS i autoryzację mobilną.
źródło Business Insider Polska
